Ich habe eine verteilte Anwendung, die aus vielen Komponenten besteht, die über TCP (z. B. JMS) und HTTP kommunizieren. Alle Komponenten laufen auf interner Hardware mit internen IP-Adressen und sind für die Öffentlichkeit nicht zugänglich.
Ich möchte die Kommunikation mit SSL sicher machen. Ist es sinnvoll, signierte Zertifikate von einer bekannten Zertifizierungsstelle zu erwerben? Oder sollte ich einfach selbstsignierte Zertifikate verwenden?
Ich verstehe den Vorteil von vertrauenswürdigen Zertifikaten darin, dass die Autorität eine Entität ist, der die Allgemeinheit vertrauen kann - aber das ist nur dann ein Problem, wenn die Öffentlichkeit sicher sein muss, dass die Entität in einer bestimmten Domäne wer ist sie sagen, sie sind es.
In meinem Fall, in dem die gleiche Organisation für die Komponenten an beiden Enden der Kommunikation und alles dazwischen verantwortlich ist, wäre eine öffentlich vertrauenswürdige Autorität daher sinnlos. Mit anderen Worten, wenn ich ein Zertifikat für meinen eigenen Server erzeuge und signiere, weiß ich, dass es vertrauenswürdig ist. Und niemand von außerhalb der Organisation wird jemals gebeten werden, diesem Zertifikat zu vertrauen. Das ist meine Argumentation - habe ich Recht, oder gibt es einen potenziellen Vorteil, wenn ich Zertifikate von einer bekannten Autorität verwende?
Sie müssen keine externe öffentliche Zertifizierungsstelle für ein geschlossenes Community-Projekt verwenden. In vielen größeren Organisationen betreiben sie eine interne PKI, um für interne Projekte wie diese Zertifikate auszustellen. Ein Vorteil der Verwendung einer PKI besteht darin, dass Sie eine Vertrauensbeziehung zwischen den verschiedenen Komponenten basierend auf einem einzelnen sicher verteilten Stammzertifikat / vertrauenswürdigen Anker einrichten können.
Wenn das Projekt jedoch internen Benutzern die sichere Verbindung mit einem internen Dienst über ihren Webbrowser ermöglichte, sollten Sie möglicherweise ein öffentliches CA-ausgestelltes Zertifikat verwenden. Die Alternative besteht darin, sicherzustellen, dass jeder Browser, der sich möglicherweise mit Ihrem Dienst verbinden muss, Ihrem Stammzertifikat vertraut hat. Dies soll Browserwarnungen verhindern.
Ich würde sagen, es ist einigermaßen sicher, es sei denn, Sie denken, dass ein Ninja-Infiltrator Ihren Server gegen Sie austauschen wird.
Die dritte Partei ist da, um es schwieriger zu machen, nur 'up & amp; generiere 'ein neues Zertifikat. Jemand könnte ein selbstsigniertes Zertifikat auf einem neuen Computer mit den gleichen Details neu erstellen, es wäre nicht das gleiche Zertifikat, Sie müssten auch eine Ausnahme hinzufügen, aber Ihre Benutzer würden wahrscheinlich den Unterschied nicht kennen .
Solange Ihr System innerhalb Ihrer Gruppe läuft und es keine Pläne gibt, es zu erweitern (und Pläne sich ändern, denken Sie daran), ist es in Ordnung, Ihre eigene einfache PKI-Infrastruktur einzurichten.
Wenn Sie über Ihre Organisation hinaus expandieren, müssen Sie lediglich Ihr Stammzertifikat an die Parteien verteilen, die Sie kommunizieren möchten. Dies gibt Ihren Partnern tatsächlich eine fein abgestimmte Kontrolle darüber, wie viel Vertrauen sie Ihnen gegenüber der öffentlichen CA-Infrastruktur setzen wollen.
Tags und Links ssl certificate trusted