I certificati WoSign S / MIME sono generati sul lato server e quindi non sicuri da usare?

3

WoSign è stato nei media per offrire certificati gratuiti per server e client . Poiché uno dei miei (gratuiti) certificati S / MIME di un'altra CA sta per scadere poco dopo un anno e WoSign offre certificati, validi per te anni, ho richiesto il loro certificato, perché speravo di poter saltare -creazione di nuovi certificati nei prossimi anni.

Durante il processo mi sono chiesto, perché non c'era alcuna indicazione dal mio browser, che stava creando una coppia di chiavi, come sono abituato dalle mie ultime applicazioni a CA diverse. Al termine del processo, è stato offerto un file PFX per il download. Non è necessario esportare il certificato dalla memoria del certificato del browser.

Secondo la loro politica (nel capitolo 3.2.1), essi offrire di generare una chiave privata per i propri abbonati. Capisco, questo dovrebbe essere evitato, perché nessuno, tranne il proprietario, dovrebbe mai essere in possesso di una chiave privata. Mentre dichiarano, che gli abbonati possono anche scegliere di creare proprie chiavi private e CSR per i certificati server, non fanno alcuna dichiarazione sulla creazione della chiave privata per il certificato client in un altro modo.

La mia ipotesi è corretta, che le chiavi private utilizzate per i loro certificati client siano realmente create sul lato server, ed è corretto, che (mentre dichiarano che non lo fanno) potrebbero tenerlo e usarlo per decifrare / firmare messaggi, esattamente come gli abbonati potrebbero fare con il loro certificato? Questo dovrebbe essere totalmente inaccettabile, perché ci si dovrebbe fidare di loro, che cancellano la chiave privata, che non avrebbero nemmeno dovuto avere in primo luogo. Ma dal momento che non sono riuscito a trovare alcuna critica su un problema del genere con il processo di rilascio del certificato del cliente, avrei potuto ottenere qualcosa di sbagliato.

    
posta Gurken Papst 09.05.2015 - 22:39
fonte

1 risposta

1

Questi certificati hanno un valore molto basso. Innanzitutto, consentire loro di generare la chiave privata è molto discutibile. Non abbiamo dettagli su come lo fanno o se mantengono queste informazioni - per quanto ne sappiamo, usano la stessa chiave privata per tutti i certificati o conservano le informazioni chiave, che potrebbero non essere fatte in modo sicuro (immagina che ricco target che sarebbe il database!).

l'altro problema con questo servizio è che ha processi di vetting molto deboli. L'unico vero vantaggio dell'utilizzo di un servizio di certificazione è di dare al tuo certificato un ulteriore livello di fiducia. Se ricevo un'email o visito un sito con un certificato, il grado in cui mi fido di tale certificato è determinato dal livello di fiducia che ho nell'autorità emittente. Il rilascio di certificati da parte di questa "autorità" ha un livello di fiducia estremamente basso perché l'emittente non effettua alcun controllo accurato per garantire che il certificato venga rilasciato al proprietario del sito o indirizzo "reale".

Essenzialmente, tutto questo servizio sta rendendo facile per qualcuno ottenere un certificato che non vuole imparare come creare il proprio certificato usando qualcosa come pgp. Naturalmente, i certificati che crei tu stesso non hanno molta fiducia, ma è per questo motivo che normalmente farai crescere tale fiducia attraverso le parti che firmano le chiavi o utilizzando una CA riconosciuta che effettui un controllo adeguato. Combinalo con il fatto che non sai chi ha accesso alla chiave privata (supponendo che tu consenta al sito di generare quei dati) e che i certificati forniti da questo servizio siano forse anche meno affidabili di un certificato autofirmato.

    
risposta data 15.05.2015 - 01:03
fonte