È ok avere certificati autofirmati nel controllo del codice sorgente?

I segreti - chiavi e password private allo stesso modo - non dovrebbero essere archiviati nel controllo del codice sorgente. Ove possibile, i certificati autofirmati dovrebbero essere sostituiti anche con certificati firmati a livello centrale.

Software come Vault facilitano la distribuzione dei segreti e, soprattutto, il loro rollover.

In questo modo puoi configurare le tue macchine di sviluppo con un livello di controllo e stare lontano dalla cattiva abitudine dei segreti nel controllo del codice sorgente perché anche se sono un certificato autofirmato, sono ancora una cattiva abitudine. Le cose che sono considerate di basso valore o sicure cose non importanti spesso diventano importanti in seguito e dimenticate.

Configuralo e rimani nel modo giusto.

Se stai parlando solo del certificato, non esiste alcun motivo crittografico per non metterlo sotto il controllo del codice sorgente, in quanto i certificati sono progettati per essere pubblici. Dovresti comunque assicurarti di non divulgare alcuna informazione proprietaria nei metadati del certificato, come i nomi X.509 di entità privilegiate.

Se si pensa di memorizzare anche la chiave segreta nel repository, è come memorizzare una password. Quindi, in effetti, hai creato un "account" condiviso tra tutti gli utenti che hanno accesso al repository o una copia funzionante, quindi si applicano tutti i problemi degli account condivisi. Le implicazioni sulla sicurezza dipendono da ciò che può fare il possessore della chiave segreta. Se quel certificato consente l'accesso in alcuni sistemi di produzione, sei condannato, mentre all'estremo opposto, se l'unico utilizzo per la chiave e il certificato è nel test del tuo prodotto, e non è accettato da nessun'altra parte, non viene fatto alcun danno. In quest'ultimo caso, potresti prendere in considerazione la possibilità di generare il certificato durante la prova al volo. Esistono punti validi sia per l'utilizzo di un certificato / chiave di test fisso che per la generazione in tempo reale, ma questa discussione non è più correlata alla sicurezza IT, ma al codice sorgente e alla gestione della build.

Parlando dall'esperienza, è normale avere certificati autofirmati per l'indirizzo della propria macchina locale per testare TLS / SSL prima di effettuare l'investimento di acquisto di un certificato. Dovrai inserire manualmente il certificato nel browser che utilizzerai per testare il sito web se stai parlando di una connessione al sito web.

Non vorrei ancora pubblicare la chiave privata del tuo server nel controllo del codice sorgente se è accessibile al pubblico, ma finché la chiave privata del certificato è diversa da quella che viene distribuita non vedo molti danni come generare nuovi autofirmati i certificati è una procedura semplice.