Esegui la nostra Autorità di certificazione solo per uso interno: sicura o no? [duplicare]

Le grandi autorità di certificazione utilizzano la stessa tecnologia (principi matematici) per i loro certificati come fareste quando si utilizza una CA interna. Quindi da questo punto di vista non vi è alcun svantaggio. Tuttavia, una CA deve fare molto più che firmare i certificati:

• Consegna il certificato di origine per il thrust-store degli utenti finali. Le grandi CA hanno il certificato radice fornito con il sistema operativo degli utenti finali. Dovrai assicurarti che ogni computer dell'organizzazione abbia questo certificato di origine.

• Proteggi le chiavi private utilizzate per firmare i certificati. Questo è un grande potenziale punto debole nella catena di certificati, se la chiave privata di ad esempio il certificato di origine viene ottenuta da qualcuno che potrebbe impersonare qualcuno nell'organizzazione.

• Garantire l'identità dell'organizzazione / persona che richiede la firma di un certificato. La tua organizzazione avrà bisogno di procedure adeguate per garantire l'identità delle persone che richiedono la firma. Utilizzando l'ingegneria sociale si potrebbero sfruttare le cattive procedure.

Ci sono anche altre cose di cui bisogna fare attenzione:

• La tua organizzazione dovrebbe anche disporre di procedure per assicurarsi che le persone controllino anche le firme e intraprendano azioni appropriate nel caso in cui mancasse o meno una firma. Altrimenti l'intera configurazione del certificato sarebbe piuttosto inutile. La migliore pratica sarebbe quella di avere una soluzione automatizzata.

• È necessario consegnare le chiavi dei certificati firmati alle persone corrette in modo sicuro e chiedere loro di usarle. Un approccio per questo è quello di averli messi sul proprio laptop (supponendo che siano archiviati in modo sicuro) e avere ad esempio la propria configurazione di client e-mail per firmare tutta la posta in uscita.

Sì, la creazione di un'infrastruttura PKI interna è spesso molto complicata e insicura a meno che non vengano compresi e gestiti correttamente molti problemi diversi. Vedi la risposta di Selenog per maggiori informazioni.

Per questi motivi, è tipico che solo le agenzie governative e le grandi aziende costruiscano un'infrastruttura PKI da zero. A questo proposito il sogno di PKI non è riuscito.

Firma centralizzata, un approccio alternativo

Dichiarazione di non responsabilità: lavoro per DocuSign. Vendiamo le appliance di firma digitale CoSign Central.

Questo tipo di apparecchio è disponibile anche da Ascertia e forse anche da altre aziende.

La maggior parte dei clienti di CoSign Central, incluse molte agenzie governative, utilizza il prodotto in modalità "CA interna". Ciò significa che l'appliance funziona come CA.

Per aggirare i numerosi problemi di sicurezza della distribuzione sicura dei certificati, l'appliance non distribuisce mai i certificati. Invece, i documenti e i dati vengono inviati all'appliance per essere firmati.

L'appliance dovrebbe essere una scatola hardware rinforzata. Le chiavi private non devono mai essere archiviate su un normale computer o su un file system del server, in quanto non sono sicure.