Sto appena iniziando a provare a implementare alcune idee PKI interne, in cui la mia app avrebbe bisogno di un messaggio per firmare. Poiché tutto questo è completamente interno, abbiamo un certo grado di fiducia e vorrei che l'app client fosse in grado di presentare il csr [over the wire] a una CA che restituirebbe un certificato firmato.
Ci sono suggerimenti sul modo migliore per ottenere una soluzione CA interna come questa?
Bene, puoi creare API web che firmeranno le richieste (Java, C #) ed eseguirle su SSL (HTTPS).
La build sicura che esegue l'API basata sul Web per le richieste di firma, con filtro di sicurezza multilivello (firewall) e controllo degli accessi (fisico, di rete, di applicazione e fattore umano coinvolti), in rete isolata / cabinet con blocchi fisici.
Sicuramente l'app dovrebbe funzionare in qualcosa come C # o Java - non in PHP. Il linguaggio statico è molto più sicuro, C # o Java sono un'ottima scelta per il grande server di applicazioni, mentre il filtro e altri possono essere scritti anche in C ++ o usare ModSecurity.
Hai anche bisogno di una buona crittografia su ogni livello di sicurezza - non solo SSL, ma anche accesso basato su SSL al database, autenticazione dei certificati in database come SQL Server o Oracle, crittografia dei database. Anche la randomizzazione dei token di sessione (RNG crittograficamente sicuro), la sicurezza del recupero della password e così via devono essere protetti con token casuali / criptati.
Infine, il backup dei certificati e della chiave privata preferibilmente in luoghi diversi non accessibili con la replica o la gestione tramite copia protetta con ssh.
Come sembra funzionare in modo corretto e semplice con IIS su Windows Server in C # Visual Studio, che garantisce un corretto isolamento e resilienza / filtraggio, oltre a poter utilizzare SQL Server e la sua API crittografica. C'è anche un ottimo framework per le API basate sul web con serializzazione e sessione.
Leggi altre domande sui tag public-key-infrastructure certificates certificate-authority