Backup dei file di chiavi private del certificato SSL

Hai sostanzialmente tre opzioni:

1. Esegui il backup della chiave con il resto del server e si assicura che i backup vengano gestiti come dati riservati. Alcune soluzioni di backup possono crittografare automaticamente i backup, che possono aiutare a risolvere i problemi (ma fare in modo che la crittografia non magicamente risolva i problemi, ma riduce la riservatezza dei dati alla riservatezza della chiave di decrittografia).

   Nel tuo caso non fai i backup dei tuoi server, quindi questa opzione non si applica a te.

2. Esegui il backup della chiave privata da sola . Poiché le chiavi private non cambiano spesso, non è necessario eseguire un backup settimanale; in effetti, puoi fare quel backup "manualmente". Una chiave privata è un dato sensibile, quindi è strongmente consigliato un certo tipo di protezione. Un formato di archivio abituale per le chiavi private è PKCS # 12 , noto anche come "PFX" (o " .pfx file"). Questo formato può incorporare la chiave e il certificato e alcuni certificati aggiuntivi (ad esempio CA intermedio) e supporta la crittografia basata su password.

   Faresti meglio a creare una strong password di protezione (ad esempio, 20 lettere casuali). Non digiterete quella password spesso, quindi la dimenticherete; quindi, scrivi una copia della password su un pezzo di carta, da conservare in una busta sigillata in una cassastrong. Il file PFX stesso può essere memorizzato ovunque (beh, non metterlo sul tuo account Facebook, perché sembrerebbe un po 'trascurato, ma se hai una password strong, allora questo fornirà una protezione sufficiente).

   Windows supporta gli archivi PFX in modo nativo. Si noti che Windows non consente la creazione di un archivio PFX se la chiave privata è stata codificata, al momento della generazione, con il flag "non esportabile". Sui sistemi Linux, usa openssl (lo strumento della riga di comando).

3. Non eseguire il backup della chiave affatto . Se il server si brucia e deve essere creato di nuovo, è sufficiente ottenere un nuovo certificato per la CA. I certificati SSL sono per autenticazione e crittografia dei dati in transito , quindi non c'è perdita di dati permanente se la chiave privata non è disponibile. Alcune CA non ti fattureranno nemmeno per l'emissione di nuovi certificati "sostitutivi" (il tipo di CA che ti fa pagare per nome del server e per anno, non per certificato). In ogni caso, il costo di un nuovo certificato sarà sminuito dal costo del nuovo hardware e, ancora più importante, dal salario del sysadmin che dovrà reinstallare il sistema operativo, il software e il sito Web.

   Questa soluzione è la più semplice di tutte e può anche essere conveniente. Tuttavia, potrebbe comportare un ritardo più lungo prima di riprendere le normali attività, quindi preferirai farlo per i server multi-front-end, dove un frontend mancante è fastidioso ma non paralizzante per il business, e quindi il recupero può essere ritardato di alcune ore.

Se il tuo server utilizza un Modulo di sicurezza hardware , non si applica nessuno dei precedenti (eccetto il possibile "no-backup"). "strategia); al contrario, la chiave privata verrà sottoposta a backup con la specifica procedura HSM.