Qual è l'impatto di un semplice numero di serie del certificato?

Question

Qual è l'impatto di un semplice numero di serie del certificato?

#1 da (4 voti)

2

Come conseguenza del seguire un po 'troppo attentamente le guide Internet, la PKI interna della mia azienda ora ha un certificato intermedio con il numero di serie "10 00".

Se paragoni ad altri certificati, in cui il numero di serie è un valore esadecimale piuttosto lungo, mi chiedo se ho creato un certificato sub-par.

La nostra CA radice è un semplice server Debian offline, che ha prodotto il certificato radice con OpenSSL. Ho quindi creato un'autorità di certificazione intermedia (Windows Server 2012R2 associata ad Active Directory) e creato un CSR da questo. La creazione del certificato sulla CA principale ha quindi prodotto questo certificato "10 00", che è ora distribuito su Active Directory.

Poiché questo certificato appartiene alla CA di emissione, il numero di serie dei certificati che produce è imprevedibile . È anche il certificato solo della RootCA che avrà un numero di serie così buffo; eventuali certificati successivi firmati dal nostro Root avranno numeri di serie più lunghi.

Ho introdotto vulnerabilità o insufficienze nel nostro PKI con questo numero seriale? Vale la pena il tempo di estrarlo dall'infrastruttura AD e ricominciare da capo?

EDIT: i certificati in questione sono RSA-4096, utilizzando SHA256.

openssl public-key-infrastructure certificates

posta Rhyven 28.07.2016 - 23:46

fonte

1 risposta

Leggi altre domande sui tag openssl public-key-infrastructure certificates

Email hack tramite RDP Gestione di un certificato SSL aziendale mal configurato

score 4 · Accepted Answer

Il rischio principale per la tua organizzazione è quello di qualcun altro che viene incaricato di creare un certificato intermedio e di cercare e seguire le stesse guide Internet identiche che hai trovato, producendo così un altro certificato con lo stesso identico numero seriale. Ciò potrebbe causare problemi con un database di gestione dei certificati, in cui i numeri seriali dei certificati potrebbero essere un campo indicizzato che deve essere mantenuto univoco.

Per quanto riguarda la sicurezza, il certificato (e la sicurezza PKI della tua organizzazione) è protetto al 100% dalla firma della CA radice. Il valore del numero di serie non ha nulla a che fare con la protezione offerta dalla crittografia. Un utente malintenzionato non sarà in grado di manometterlo o di offrire un sostituto solo perché ha un numero seriale basso o conosciuto.

In passato c'era un problema con MD5 con una protezione da collisione scarsa in cui un generatore di numeri seriali prevedibile poteva essere utilizzato per falsificare un attributo di un certificato firmato, ma anche questo non influirebbe sulla tua organizzazione perché hai detto i numeri seriali il tuo rilascio ora non viene generato sequenzialmente da 1000.