Stiamo cercando di ospitare un numero di applicazioni client nel nostro ambiente.
Alcuni di questi useranno la crittografia, ad es. per la crittografia di ssl o database e ovviamente dovremo gestire le chiavi per questo.
Non sono sicuro se dovrei chiedere al cliente le chiavi, che poi terremo in loro nome; con tutti i problemi di coordinamento con il cliente per la revoca, la sostituzione ecc. ma con il vantaggio che saranno le chiavi del cliente e funzioneranno come previsto per i loro utenti (cioè mostreranno il certificato atteso e non uno dei nostri) .
In alternativa potremmo usare le nostre chiavi, ma ciò significherebbe implementare una PKI corretta, gestire l'intero ciclo di vita della chiave / cert, rassicurare il cliente che stiamo facendo bene e, naturalmente, agli utenti che potrebbero sembrare sospetti. Ma abbiamo il controllo.
Non sono proprio sicuro su quale strada andare, anche se sono propenso a fornire il client.
Eventuali osservazioni o raccomandazioni? Mi manca un trucco?