Utilizza il certificato TLS come server e client?

1

Per un protocollo federato server-server con identità basate su dominio, sto pensando di utilizzare i certificati client TLS come meccanismo di autenticazione. Ho pensato che riutilizzare il certificato server TLS di ogni peer come certificato client per connettersi con altri peer sarebbe l'approccio più semplice per implementarlo.

Tuttavia, non sono sicuro che questo doppio utilizzo di un singolo certificato TLS possa essere considerato sicuro. Esistono rischi speciali derivanti dall'utilizzo di un singolo certificato sia come server sia come certificato client, in modo simile al modo in cui l'utilizzo di una chiave privata per la firma e la crittografia è problematico? Voglio evitare di creare un serio problema di sicurezza per pura comodità.

    
posta denisw 17.02.2014 - 10:32
fonte

1 risposta

1

Questo schema è spesso usato per sendmail (MTA) e OpenVPN. È decente, e finora ho trovato solo una trappola:

Sul / ogni server, devi portare una whitelist per:

  • la CA autorizzata (possibilmente, ma non fa male)
  • i client consentiti

Come specificare i client dipende dal software specifico. Consiglierei di specificare il loro CN (commonName) e di richiedere che il cert presentato sia ① altrimenti buono e ② firmato dalla CA specificata.

Sto implementando l'inoltro SMTP basato su certificato client SSL con questo (batte SASL in qualsiasi momento della giornata, IMHO: i mailer (MUA) inviano a localhost, e localhost usa il loro certificato (ufficiale) per connettere lo smarthost, che usa quel certificato per consentire l'inoltro). I setup di OpenVPN con questo non sono molto comuni (la maggior parte delle persone autorizza solo una CA fatta a mano e consente tutti i certificati firmati da esso) ma ancora in uso (vale a dire, non è raro).

    
risposta data 30.05.2014 - 18:05
fonte

Leggi altre domande sui tag