2013-03-01 3 views
8

हाल ही में हम बिल्ला के साथ एक सर्वर बनाया है और हम भी इस छोटे से सर्वर के लिए SSL समर्थन जोड़ने। एसएसएल समर्थन के लिए, हम एक प्रमाण पत्र जो Entrust, Thawte आदि जैसे एक तिहाई जारीकर्ताएसएसएल-क्या एक सर्वर प्रमाणपत्र एक विशिष्ट मशीन से बांधता है?

एक सहयोगी ने मुझ से कहा कि प्रमाण पत्र एक विशिष्ट मशीन के लिए बाध्य किया जाता है द्वारा जारी की जरूरत है। एक बार हमें जारी प्रमाण पत्र मिला, तो यह प्रमाण किसी अन्य मशीन में उपयोग नहीं किया जा सकता है।

मैं यह पूरी तरह से शक क्योंकि सीएसआर मशीन के किसी भी जानकारी शामिल नहीं है। क्या यह सच है?

धन्यवाद

+0

कुछ एसएसएल प्रदाताओं को लागू इस गैर तकनीकी रूप से - आप उन लोगों से एक ही सर्वर लाइसेंस खरीद और अनुबंध के तौर पर केवल एक पर इसका इस्तेमाल करने के लिए सहमत। – ceejayoz

उत्तर

9

प्रमाण पत्र जरूरी एक विशेष मशीन के लिए बाध्य नहीं है। किसी मशीन पर "प्रमाण पत्र का उपयोग" करने में सक्षम होने के लिए, आपको दो चीजों की आवश्यकता होती है: प्रमाण पत्र स्वयं और इसकी निजी कुंजी। आपको सीएसआर के साथ निजी कुंजी उत्पन्न करनी चाहिए (आपके द्वारा उपयोग किए जाने वाले औजारों के आधार पर)।

कुछ सिस्टम आपको निजी कुंजी को फिर से निकालने की अनुमति नहीं देते हैं (उदाहरण के लिए विंडोज़ के पास एक निजी कुंजी आयात करने का विकल्प है जिस तरह से आप इसे निर्यात नहीं कर सकते हैं, लेकिन जहां तक ​​मैं समझता हूं, इसे छोड़ दिया जा सकता है अगर आपके पास उस मशीन पर पर्याप्त पहुंच अधिकार हैं)। ऐसे मामलों में जहां आप स्मार्ट कार्ड या हार्डवेयर टोकन का उपयोग कर रहे हैं, निजी कुंजी इस तरह से उत्पन्न की जा सकती है कि आप इसे निकालने में सक्षम नहीं हो सकते हैं (इस मामले में, नई मशीन पर टोकन ले जाने पर आवश्यक हो जाएगा) ।

अन्य भाग प्रमाण पत्र और उसके नाम है। सर्टिफिकेट में मेजबान नाम (जिसे अक्सर सीएसआर में भी पाया जाता है, हालांकि यह अंततः जरूरी नहीं है), इस मशीन का होस्ट नाम होना चाहिए, जैसा कि क्लाइंट इसे कनेक्ट करने का प्रयास कर रहा है (देखें एचटीटीपीएस के लिए होस्ट नाम सत्यापन पर विस्तार के लिए आरएफसी 2818 अनुभाग 3.1)। जैसे, हालांकि प्रमाण पत्र ही हार्डवेयर के मामले में एक विशेष मशीन से बंधा नहीं है, यह इस होस्ट नाम (जो आप इस मशीन या उदाहरण के लिए अपने आईपी पते के लिए हार्डवेयर बदलने के लिए अनुमति देता है) से संबद्ध रहेगा।

+0

तो इसका मतलब है कि प्रमाणपत्र होस्ट नाम से जुड़ा हुआ है। तो मैं प्रमाण पत्र में होस्ट नाम कैसे देख सकता हूं? क्या सीएन है? एक और सवाल यह है कि एसएसएल क्लाइंट को हमेशा होस्ट नाम की जांच की आवश्यकता होती है? (मुझे ऐसा नहीं लगता) – zgcharley

+0

यदि DNS विषय वैकल्पिक नाम हैं, तो होस्ट का नाम उनमें से कोई भी हो सकता है। अन्यथा, यह विषय डीएन में सीएन है। एसएसएल क्लाइंट को हमेशा होस्ट नाम की जांच करनी चाहिए (कुछ नहीं करते हैं, लेकिन इससे उन्हें एमआईटीएम हमलों के लिए कमजोर बना दिया जाता है - नाम को सत्यापित करने के लिए सुरक्षा बग के रूप में नहीं माना जाना चाहिए)। – Bruno

+0

आपकी व्याख्या के लिए धन्यवाद! – zgcharley

संबंधित मुद्दे