एसएसएल ने आंतरिक उपयोग के लिए प्रमाणपत्रों पर हस्ताक्षर किए

Question

मेरे पास एक वितरित एप्लिकेशन है जिसमें कई घटक शामिल हैं जो टीसीपी (परीक्षा जेएमएस के लिए) और HTTP पर संचार करते हैं। सभी घटक आंतरिक हार्डवेयर पर आंतरिक आईपी पते के साथ चलते हैं, और जनता के लिए उपलब्ध नहीं हैं।

मैं एसएसएल का उपयोग कर संचार को सुरक्षित बनाना चाहता हूं। क्या एक प्रसिद्ध प्रमाणपत्र प्राधिकरण से हस्ताक्षरित प्रमाणपत्र खरीदने का अर्थ है? या क्या मुझे सिर्फ स्वयं हस्ताक्षरित certs का उपयोग करना चाहिए?

भरोसेमंद certs के लाभ की मेरी समझ यह है कि प्राधिकरण एक ऐसी संस्था है जिसे आम जनता द्वारा भरोसा किया जा सकता है - लेकिन यह केवल एक मुद्दा है जब आम जनता को यह सुनिश्चित करना होगा कि किसी विशेष डोमेन की इकाई वे कहते हैं कि वे हैं।

इसलिए, मेरे मामले में, जहां एक ही संगठन संचार के दोनों सिरों पर घटकों के लिए ज़िम्मेदार है, और बीच में सबकुछ, सार्वजनिक रूप से भरोसेमंद प्राधिकारी व्यर्थ होगा। दूसरे शब्दों में, यदि मैं अपने सर्वर के लिए प्रमाणपत्र उत्पन्न करता हूं और हस्ताक्षर करता हूं, तो मुझे पता है कि यह भरोसेमंद है। और संगठन के बाहर से कोई भी इस प्रमाणपत्र पर भरोसा करने के लिए कभी भी नहीं पूछा जाएगा। यही मेरा तर्क है - क्या मैं सही हूं, या ज्ञात प्राधिकारी से कर्ट का उपयोग करने के लिए कुछ संभावित लाभ है?

Answer 1

मैं कहूंगा कि यह उचित रूप से सुरक्षित है, जब तक आपको लगता है कि निंजा घुसपैठिए आपके सर्वर को स्वैप करने जा रही है।

तीसरी पार्टी '&' को एक नया प्रमाण उत्पन्न करने के लिए कठिन बनाने के लिए है। कोई भी एक ही मशीन के साथ एक नई मशीन पर एक स्व-हस्ताक्षरित प्रमाण फिर से बना सकता है, यह वही प्रमाण नहीं होगा, आपको इसके लिए अपवाद भी जोड़ना होगा, लेकिन आपके उपयोगकर्ता शायद अंतर नहीं जान पाएंगे ।

Answer 2

एक बंद समुदाय परियोजना के लिए बाहरी सार्वजनिक सीए का उपयोग करने की आवश्यकता नहीं है। कई बड़े संगठनों में वे आंतरिक परियोजनाओं के लिए कर्ट जारी करने के लिए एक आंतरिक पीकेआई संचालित करते हैं। पीकेआई का उपयोग करने का एक फायदा यह है कि आप एक सुरक्षित रूप से वितरित रूट प्रमाणपत्र/ट्रस्ट एंकर के आधार पर विभिन्न घटकों के बीच एक ट्रस्ट रिलेशनशिप स्थापित कर सकते हैं।

हालांकि, अगर परियोजना ने आंतरिक उपयोगकर्ताओं को अपने वेब ब्राउज़र के माध्यम से आंतरिक सेवा से सुरक्षित रूप से कनेक्ट करने की अनुमति दी है तो आप सार्वजनिक सीए जारी किए गए प्रमाण का उपयोग करने पर विचार करना चाहेंगे। विकल्प यह सुनिश्चित करना है कि प्रत्येक ब्राउज़र जिसे आपकी सेवा से कनेक्ट करने की आवश्यकता हो, आपके रूट प्रमाण पर भरोसा करे; यह ब्राउज़र चेतावनी संदेशों को रोकने के लिए है।

Answer 3

जब तक आपका सिस्टम आपके समूह के अंदर चल रहा है और इसे विस्तारित करने की कोई योजना नहीं है (और योजनाएं बदलती हैं, इसलिए इसे ध्यान में रखें), अपने स्वयं के साधारण पीकेआई आधारभूत संरचना को स्थापित करना ठीक है।

यदि आप अपने संगठन से आगे बढ़ने का अंत करते हैं, तो आपको केवल उन पार्टियों को अपना रूट प्रमाण पत्र वितरित करना होगा, जिन्हें आप संचार करेंगे। यह वास्तव में आपके साझेदारों को एक अच्छा दानेदार नियंत्रण देता है कि वे सार्वजनिक सीए बुनियादी ढांचे बनाम आप कितना भरोसा रखना चाहते हैं।