Voglio essere sicuro di capire bene la situazione in cui il certificato SSL è compromesso.
Se chiedo un rekey, suppongo che il vecchio certificato rimarrà valido. Le future comunicazioni con il nuovo certificato saranno valide ma avrò potenziali problemi di pishing.
Il miglior IMHO è revocare il certificato e usarne uno nuovo.
Grazie per i consigli
"Rekey" è un termine che viene solitamente utilizzato quando si ottiene un nuovo certificato: significa che si desidera che il nuovo certificato utilizzi una coppia di chiavi appena generata, invece di riutilizzare la stessa chiave pubblica di era in un precedente certificato.
"Revoca" è l'atto di dichiarare, dal lato CA, che un dato certificato non dovrebbe più essere considerato valido (è un po 'come se il certificato scada prima della sua scadenza nominale Data). Quando un certificato viene revocato, il suo numero di serie appare nel CRL pubblicato dalla CA (ecco come viene reso noto al resto del mondo la revoca).
Le due azioni sono per lo più ortogonali tra loro, ma ci sono situazioni in cui vuoi entrambe. In particolare, se la tua chiave privata è stata rubata:
È necessario revocare il certificato. Il compromesso chiave è il principale motivo per cui abbiamo bisogno di un sistema di revoca. Questo dovrebbe impedire l'uso della chiave rubata per alimentare un server falso (ovvero, supponendo che i browser client ottengano e onorino le informazioni di revoca, che è un'ipotesi piuttosto audace).
Poiché il certificato è stato revocato, non puoi più utilizzarlo per il tuo server (blocca te e il ladro allo stesso modo), quindi probabilmente hai bisogno di un nuovo certificato. E dal momento che la vecchia chiave è stata rubata, ne vorrai una nuova, quindi anche questa è una situazione di "rekey".
Alcuni CA attiveranno automaticamente la revoca quando chiederai un nuovo certificato con una nuova coppia di chiavi; altri no. Alcuni parleranno del vecchio certificato "disattivato" che potrebbe essere lo stesso di "revoca" o potrebbe essere qualcos'altro (ad es. Qualcosa come un account chiuso dalla loro parte), a seconda di quanto abusano della terminologia. Qualsiasi CA decente dovrebbe avere una procedura specifica per il compromesso chiave che farà le cose correttamente.
Non voglio che il problema sia come questo: rekey vs revocare.
La ridenominazione è terminata
when you move your website to a new server, your server crashed, or you lost your private key. You also need to re-key to add or remove subject alternative names (SANs) in a UCC SSL. (source)
Quando chiedi una nuova coppia di chiavi, il vecchio certificato viene automaticamente revocato.
NOTE: We automatically deactivate the previous certificate when we issue the new, re-keyed certificate. Please do not revoke unless you are certain you want to cancel the existing certificate. When you revoke, the SSL credit is canceled and you cannot re-key the certificate.
Quindi non è una questione di " vs ", è una questione di " e ", e questo è in realtà come dovrebbero essere fatte le cose. Quando si re-digita, il vecchio certificato deve essere revocato.
Leggi altre domande sui tag tls certificates certificate-revocation