SSL Cert Validation - Il mio sito deve essere accessibile?

Naviga le tue risposte
5

Sto tentando di acquistare un certificato SSL standard (non EV) per un'applicazione interna (Oracle Hyperion) che abbiamo reso disponibile tramite la WAN della nostra organizzazione. L'applicazione non è accessibile da internet.

La società da cui proviamo ad acquistare questo certificato ci ha comunicato che non è possibile rilasciare il certificato senza poter accedere all'applicazione (sito Web) e "esaminarlo".

Sono curioso di sapere se questa è una pratica standard con certificati SSL? Non ho riscontrato questo tipo di problema in passato e so che ho ordinato certificati per siti Web non rivolti a Internet in precedenza.

    
posta Zane 14.12.2016 - 22:08
fonte

2 risposte

14

Aggiungendo ciò che ha detto @JulianKnight, sfortunatamente i fornitori di SSL automatizzati di massa economica sono progettati solo per gestire server Web pubblici. Come parte della loro procedura di emissione, spesso richiedono di dimostrare di controllare il sito inserendo un file in un URL specificato o qualcos'altro che possono validare in modo automatico. Questo è in gran parte per la comodità della CA.

È un caso d'uso perfettamente valido disporre di certificati di emissione di CA pubblicamente affidabili per i server privati solo interni (inclusi gli usi TLS diversi da HTTP). Niente di male in questo, ma potrebbe essere necessario pagare un po 'di più per il certificato perché i certificati $ 0 - $ 5 non sono realmente progettati per gestire questo. In particolare, dovrai trovare una CA che ti consenta di dimostrare la proprietà del dominio con un altro meccanismo.

    
risposta data 14.12.2016 - 22:39
fonte
4

Sfortunatamente, non è così raro. Ricevi alcune strane richieste da alcuni fornitori di cert.

La verità è che dovrebbero solo richiedere la conferma che tu possieda effettivamente l'host. Alcuni dei migliori processi per questo sono per ottenere di aggiungere un record TXT alle voci DNS del dominio host. Alcuni venditori seguono anche una telefonata nella mia esperienza, che in realtà non fornisce alcuna sicurezza aggiuntiva.

Alcuni fornitori richiedono solo una risposta dal tuo account di webmaster o postmaster designato.

    
risposta data 14.12.2016 - 22:31
fonte

Leggi altre domande sui tag

Mysql - crittografia bidirezionale di dati sensibili (indirizzi e-mail) al di fuori di Apache, PHP e MySQL Come funziona il C & C di Mirai con i suoi bot?