Vlákno názorů ke zprávičce Po úniku klíčů bude dnes zneplatněno 23 000 TLS certifikátů od kb - "ponaučení pro všechny: nikdy nikomu nesvěřovat své klíče" hezké...

"ponaučení pro všechny: nikdy nikomu nesvěřovat své klíče"
hezké ponaučení, ale třeba internet banking komerční banky funguje právě na principu, že v rámci autentizačního procesu pošlete svůj certifikát vč. privátního kliče v balíčku pkcs12 přes webový formulář bance a musíte rovněž do formuláře zadat heslo k certifikátu:/

a neni jednodussi to poslat rovnou cele v plaintextu a nic nesifrovat, kdyz vysledek je uplne stejny? :-D
(nekomu posilat privatni klic, to je uplne stejny, jako mit kodovy zamek k baraku a kod napsat na stitek vedle dveri)

To je blbost. Privátní klíč se serveru neposílá, jen se jím provede podpis pro autentizaci uživatele.

do formuláře KB se vkládá certifikát ve formátu .p12 (obsahuje certifikát i klíč) + heslo
https://www.mojebanka.cz/pdf/vlozeni_certifikatu_cz.pdf

Certifikát od KB není k šifrování HTTP.

Zrejme mate na mysli klientsky certifikat, pouziva to sice rovnaku technologiu ako serverovy certifikat ale ma inak nastavene priznaky... ale aj v tomto pripade staci k podpisu odoslat CSR, podpisany CRT je potom mozne lokalne spojit s klucom do podoby pksc12...

Pokud z .p12 vytáhnu pomocí openssl jen certifikát (bez klíče) a ten vložím do formuláře pro přihlášení do KB, tak se zobrazí zpráva, že certifikát je neplatný, formulář vyžaduje pkcs#12 formát a k tomu heslo. Co se pak reálně odesílá do banky se těžko zjišťuje, ale pokud se klíč odešle uživatel tomu taky težko zabrání.

IMHO celý popis je o importu PKCS#12 souboru (balík privátní klíč + jeho certifikát) do _prohlížeče_, nikoliv na server KB. Neboli zůstane na klientově počítači. Tedy pokud nepoužije nějaký roaming profil prohlížeče a i potom putuje privátní klíč na jiné servery než ty v KB.

v úložišti prohlížeče žádný certifikát není, autentizace do KB se provádní přes webový formulář, do kterého se vkládá pkcs12 a k němu heslo