Perché non generare un client SSL con data di scadenza in un futuro molto lontano?

5

In caso di certificato SSL del server, viene emesso da una CA che può quindi richiamarlo fino alla sua scadenza e inoltre, la CA raccoglie in genere una commissione per ogni certificato, quindi è interessata a certificati in scadenza ogni anno.

La mia domanda riguarda i certificati client. Supponiamo di voler effettuare chiamate al servizio API di gestione di Azure. Genero un certificato sul mio computer, lo esporto con una chiave pubblica e poi lo carico in Azure Management Portal. Quindi scrivo un codice che carica lo stesso certificato esportato da un file locale e in qualche modo autentica magicamente la connessione HTTPS. Il servizio API di gestione riceve la richiesta e controlla se il certificato utilizzato è quello giusto.

Il punto è che qui non c'è autorità. Se i miei certificati vengono compromessi, ne creo uno nuovo io stesso e poi vado al portale e aggiungo il nuovo certificato ed elimina quello vecchio. Quindi cambio il mio software client e chiunque abbia copiato il mio certificato precedente è bloccato.

Sembra che sia nel mio interesse generare un certificato che scade il più tardi possibile - qualcosa come 10+ o 50+ anni da oggi.

Perché non dovrei generare un certificato che scade il più tardi possibile in questo scenario?

    
posta sharptooth 23.01.2015 - 11:20
fonte

2 risposte

7
  1. Perché ciò che viene considerato una sicurezza adeguata 10 anni fa non è il caso oggi (o useremmo tutti SSL_RSA_EXPORT_WITH_RC4_40_MD5).

  2. Perché rende i CRL più semplici - ora abbiamo OCSP per questo, ma richiederebbe un controllo più frequente e sposta il problema del volume altrove.

  3. Poiché non si adatta al modello di business delle autorità di certificazione incumbent - se esistesse una suite di crittografia (probabilmente) perfetta, il loro flusso di entrate verrebbe distrutto.

risposta data 23.01.2015 - 11:35
fonte
2

symbbean ha una buona risposta, anche se ne aggiungerò un'altra:

  1. Perché mentre TU generi un nuovo certificato in qualsiasi momento se ritieni di averne uno debole, l'utente medio (che si tratti di un'azienda o di un individuo) NON genererà un nuovo certificato fino alla scadenza del certificato corrente. E poi prenderanno di nuovo tutte le impostazioni predefinite - speriamo solo che le nuove impostazioni predefinite siano migliori delle vecchie impostazioni predefinite.

Questo è vero anche se stai generando certs ora, e qualcun altro che è più pigro e / o meno informato prende il sopravvento in futuro per qualsiasi motivo (ti ritirerai in un'isola tropicale di proprietà privata, per esempio).

    
risposta data 24.01.2015 - 05:20
fonte

Leggi altre domande sui tag