Cosa c'è di sbagliato nello scambio fisico dei certificati invece dell'handshake?

Organization XYZ prefers not to trust any CA but only itself.... All inside Browsers are set to trust this Enterprise CA. So, naturally, all other web sites (like Google) are not trustworthy which is indicated by browser.

What is wrong with this picture?

Ciò che è sbagliato è che l'organizzazione XYZ è che utilizza il punto di applicazione sbagliato .

Se non si fidano del mondo esterno, devono rimuovere i proxy Web in uscita e assicurarsi che le regole del firewall non consentano tutti gli accessi in uscita sulle porte 80/443.

Oppure potrebbero implementare un proxy draconiano con TLS MITM che limita l'accesso solo a quei siti esterni che considerano legittimi. (E se lo fanno, ovviamente, dovrebbero fidarsi ancora delle autorità di certificazione esterne, poiché l'accesso ai siti approvati viene applicato dal proxy, non dal livello del certificato TLS.)

Se l'Organizzazione XYZ non è disposta a prendere questi - certamente abbastanza drastici - passi, allora devono seriamente riconsiderare perché stanno stigmatizzando ciò che è - per loro stessa ammissione - un accesso accettabile. Poiché diffidando di tutte le altre CA, stanno posizionando i certificati di convalida estesa allo stesso livello dei certificati Snakeoil autofirmati. Se hai intenzione di buttarli via, dovresti semplicemente bloccare ogni ... . oh, aspetta, quello era il passaggio 1.

Ci sono due parti nella tua domanda:

È sbagliato utilizzare una CA interna all'interno di un'organizzazione?

Qui non c'è niente di sbagliato, a condizione che il processo di consegna dei certificati sia corretto. Ciò suppone che i certificati di macchina vengano stabiliti solo al livello amministrativo appropriato e che vengano installati sulla macchina solo dagli amministratori e che nessun altro possa rubarli. Ciò suppone anche che se i certificati vengono consegnati a dipendenti o partner, ci sono alcune informazioni sui loro usi e il processo garantisce che possano essere utilizzati solo dalla persona corretta.

Risparmia un po 'di denaro a costo di non fidarsi dei certificati nel mondo esterno. Sarebbe problematico per i processi Business to Client, ma va bene per gli scambi interni o gli scambi con un numero limitato di partner noti

È sbagliato rimuovere tutti i certificati predefiniti dai browser interni?

È strano a meno che le macchine interne non possano accedere a Internet globale. Se la rete interna se fisicamente isolata dagli accessi a Internet o se un proxy blocca tutto tranne un numero limitato di macchine, gli altri certificati sono solo inutili e possono essere rimossi ... anche se non fornisce alcuna sicurezza aggiuntiva.

Se ai dipendenti è consentito accedere a Internet rimuovendo i certificati è possibile evitare l'installazione automatica di plug-in firmati da fonti ben note, ma a costo di un numero elevato di falsi positivi. Il rischio qui è di istruire gli utenti ad accettare qualsiasi nuovo certificato senza nemmeno leggere il messaggio, il che può essere peggio. Quindi IMHO ha senso solo se gli utenti non possono bypassare lo stato non attendibile dei certificati esterni.

Ma fintanto che le macchine appartengono al datore di lavoro, può scegliere cosa può essere installato o meno su di esse e per cosa possono essere utilizzate ... anche se la rimozione del certificato predefinito potrebbe non essere il modo migliore e non può essere il solo uno.

Limiti del certificato privato

I certificati privati vanno bene per l'autenticazione o per la criptazione degli scambi di dati. In genere, sono perfettamente adatti per HTTPS.

Ma non puoi usarli per non ripudiarli, almeno con le smartcard (*). Se emetti e consegni un certificato, non sarai mai in grado di dimostrare di non aver mai tenuto una copia della chiave privata. Nessun tribunale accetterà questo perché hai un interesse qui. Questo è il motivo per cui il ripudio non è meglio convalidato da un emittente di terze parti .

(*) Come detto da @ AndréBorie, questo non si applica se è stata scambiata solo una CSR, ma solo se fornisci una smartcard

Se ho letto correttamente, direi che la cosa sbagliata è che il personale sta perdendo tempo manualmente applicando il certificato di fiducia invece di lasciare che il browser e le infrastrutture Public Key esterne facciano il loro lavoro.

Anche se è vero che il modello di affidabilità del certificato è gravemente danneggiato, funziona principalmente. Almeno finché è necessario il browser per verificare la validità e l'estensione del certificato mantenere aggiornato il browser (in modo che i trust della CA radice possano essere rapidamente aggiornati).

Vuoi davvero affidarti al personale per fare ciò che il browser può fare? Quali spese generali portano? Questi costi generali si traducono in costo , il che significa come convincere la "gestione" a cambiare idea.