Utilizzo della chiave pubblica / privata senza certificato firmato

Question

Utilizzo della chiave pubblica / privata senza certificato firmato

#1 da (3 voti)
#2 da (1 voti)
#3 da (0 voti)

2

Sto lavorando su un programma java e sto lavorando alla sua sicurezza di rete. Voglio usare una connessione sicura poiché trasferisce molte informazioni sensibili. Su tutte le guide di sicurezza viene menzionato di andare sempre con un metodo standard e non usare la propria crittografia / modo.

Ci sono problemi di sicurezza se uso la mia coppia di chiavi pubblica / privata senza che si tratti di un certificato attendibile? Comprendo che un utente malintenzionato può inviare la propria chiave durante lo scambio, ma cosa succede se la chiave è standard e l'ho codificato nel codice?

encryption public-key-infrastructure tls certificates

posta user36976 05.02.2014 - 15:53

fonte

3 risposte

1

Are there any security issues if I use my own public/private key pair without it being a trusted certificate?

Suppongo tu intenda "firmato da un'autorità di certificazione conosciuta" quando dici di avere fiducia? Si assolutamente!

Ricorda però, non eseguire il rollover del tuo protocollo. Usa SSL / TLS. Crea la tua autorità di certificazione con uno strumento come openssl e usalo per firmare certificati SSL per client e server.

risposta data 05.02.2014 - 15:56

fonte

0

Come opposto a @Terry con cui sto andando. No, per niente o forse no.

Dipenderà dall'uso che darai a questa applicazione, se è personale allora, perché dovresti pagare qualche CA per rendere la tua coppia "affidabile"?

Contro il contrario, se hai intenzione di diventare "pubblico" con utenti "pubblici" se non usi una CA fidata, i tuoi utenti riceveranno un GRANDE avviso quando accederanno alla tua app.

risposta data 05.02.2014 - 16:01

fonte

Leggi altre domande sui tag encryption public-key-infrastructure tls certificates

Overflow del buffer su Raspberry PI Il malware ha rubato un file eseguibile sul mio computer? Sembra improbabile

score 3 · Accepted Answer

Con SSL, il client deve usare la chiave pubblica del server, e deve avere un modo per assicurarsi che stia usando la chiave del server destra , non un falso inviato da qualche utente malintenzionato percorso di rete. Ecco cosa sono i certificati. Se non ti puoi fidare delle informazioni nel certificato del server, allora ... non ti puoi fidare e perdi.

Se conosci la chiave pubblica del server in anticipo e la puoi codificare nel codice client, allora ti fidi di ciò e va bene (anche se non è molto flessibile). Un valore del certificato del server hardcoded, infatti, è molto ridotto PKI .