Vlákno názorů ke zprávičce Od 1. září se zkracuje platnost HTTPS certifikátů na jeden rok od SPM - Ohledně těch uniklých privátních klíčů... co jsem viděl,...
-
Ohledně těch uniklých privátních klíčů... co jsem viděl, tak u hromady komerčních autorit to stejně fungovalo tak, že při obnovení po zaplacení jen přišel certifikát... s původním klíčem.
Ohledně LE, platnosti 90 dnů a nepředstavování problémů... na civilizovaném systému sice ne. Ale co jsem řešil bohužel nějaké aplikace nad Windows, tak jsem došel k tomu, že nejjednodušší je stejně si ten certifikát vydat jinde a přenést ho tam. Dále pak do řady "enterprise" aplikací nebo zařízení to také nelze snadno automatizovat (buď to nejde vůbec nebo jde, ale za cenu psaní a ladění expect scriptů a podobně).
-
Sice nikde expirovaný certifikát nemám, ale z direktivy SSLProxyCheckPeerExpire soudím, že ho ignorovat umí...
-
Filip JirsákStříbrný podporovatelOhledně těch uniklých privátních klíčů... co jsem viděl, tak u hromady komerčních autorit to stejně fungovalo tak, že při obnovení po zaplacení jen přišel certifikát... s původním klíčem.
To by ničemu nevadilo. Důležité je, zda znova proběhla validace, nebo zda se autorita alespoň přesvědčila, že držitelem domény je stále týž subjekt. -
To jsou podle mě dva různé problémy... ano, validace, jestli vlastníkem domény je stále ten původní vlastník je jeden z nich. Ale pokud to má bránit, jak je uvedeno ve zprávičce, i proti leaknutým klíčům (tedy druhý problém), tak se ten klíč musí přegenerovat. Pokud ze serveru uteče, bez vědomí správce, privátní klíč, tak sice stále nelze udělat veřejnou podvodnou stránku (vlastník je pořád stejný), ale už úspěšně lze ty stránky podvrhávat třeba někde na veřejné WiFi...
-
Filip JirsákStříbrný podporovatel
To už je ale věc toho majitele domény – buď si je dostatečně jistý, že klíč neunikl, pak klidně může požadovat následný certifikát pro stejný klíč. Nebo si tím jistý není a následný certifikát raději vystaví s novým klíčem. Ale upřímně řečeno, tenhle argument mi připomíná vynucenou pravidelnou změnu hesla – pokud nevíte, kudy uniká heslo nebo privátní klíč, nepomůže vám, když je budete měnit častěji.
-
Jan HrachStříbrný podporovatelLE taky nevynucuje použití nového klíče pro každý požadavek, a řekl bych, že většina lidí to nedělá (a certbot to nemá default) (a já teda taky vygeneruju klíč při instalaci serveru a pak už se na něj nesahá).
-
Ondřej CaletkaZlatý podporovatelMyslím, že certbot ve výchozím stavu vyměňuje privátní klíč při každém znovuvydání certifikátu. Ale záleží na tom, v jakém režimu je provozován. V manuálním režimu používá, kdy má na vstupu CSR, samozřejmě klíč vyměnit nemůže.
-
Ako to, že "prišel certifikát... s klíčem"?
Kľúč si máte predsa vygenerovať sami, a k nemu CSR. CSR zaslať CA, tá certifikát podpíše a pošle naspäť IBA certifikát. CA nemá žiadny dôvod ani potrebu kľúč vidieť, a v ideálnom prípade by nikdy nemal von zo zariadenia, ktoré ho používa, nieto ho ešte preháňať sieťou hore dole.
-
Filip JirsákStříbrný podporovatel
Certifikáty implikují asymetrickou kryptografii, tedy se používají dva klíče, soukromý a veřejný. V certifikátu je samozřejmě veřejný klíč.
-
Filip JirsákStříbrný podporovatel
Nikoli. Certifikát obsahuje veřejný klíč plus údaje, které je potřeba s tím veřejným klíčem svázat (např. název domény), to celé je podepsané certifikační autoritou.
V příspěvku bylo napsáno „přišel certifikát... s původním klíčem“. V certifikátu je vážně jen veřejný klíč. A původní veřejný klíč tam samozřejmě být může – při vystavení následného certifikátu není nutné měnit klíče.
Na certifikátu se změní hlavně doba jeho platnosti a sériové číslo. Z toho plyne i změna podpisu. Kdyby se žádné údaje na certifikátu nezměnily, nezmění se ani podpis.
