Controllo completo su crittografia vs affidamento su certificato esterno [chiuso]

Nel porre questa domanda, in realtà chiedi ai professionisti degli svantaggi di utilizzare un trust a catena privato o uno già disponibile sul client.

Utilizza una CA pubblica - PRO

• Poiché si presuppone che la radice del trust sia già installata sul dispositivo client, la parte "difficile" della distribuzione del certificato (ovvero, progettare un meccanismo sicuro per distribuire la radice della catena di fiducia) è considerata risolta.
• Gestire una CA sicura è difficile da ottenere correttamente e facilmente sbagliare. Ciò significa che eseguire una CA sicura è costoso. Usando una CA pubblica (supponendo che sia correttamente protetta) hai condiviso il costo tra tutti i clienti di quella CA che lo rende (in teoria) più economico rispetto a quello che usi in un ambiente simile.
• L'uso della catena PKI come impostazione sul dispositivo client consente una maggiore personalizzazione: puoi decidere di cambiare CA senza avere un impatto eccessivo sui client e dare potere agli utenti finali di fare le proprie scelte quando implementano il sistema (potrebbero utilizzare una CA diversa per il server o utilizzarne una propria). Ciò rende il sistema più portatile e adattabile.

Utilizza una CA pubblica - CONs

• Ora puoi fare affidamento sulla radice del trust per essere correttamente gestita sul dispositivo di destinazione. Se usi il normale root store sul dispositivo, puoi potenzialmente aprirti alle CA canaglia che sono state inserite lì.
• Hai meno controllo su come viene emesso il certificato, quindi è difficile (o costoso) utilizzare il certificato con proprietà non standard (nel caso in cui il tuo caso d'uso lo utilizzi).
• Di solito non controlli esattamente quale CA principale e intermedia sono utilizzate per emettere la CA finale, il che potrebbe rendere difficile l'utilizzo di un fiducia anchor che non è il certificato dell'entità finale quando si desidera eseguire il blocco dei certificati (vedere questo ).

Utilizza una CA privata - PRO

• Hai più libertà di come generi i tuoi certificati (in particolare, puoi usare qualsiasi proprietà e valore che desideri)
• Se intendi eseguire il blocco dei certificati, è più semplice da gestire poiché controlli quando scade ogni elemento della catena di certificati del certificato.
• Ti rende meno dipendente dalle entità al di fuori del tuo controllo: sei meno dipendente dai loro potenziali fallimenti e devi fidarti di un insieme più limitato di entità (ad esempio se ti fidi del più completo archivio CA di una macchina Windows, le entità elencate in quel negozio possono emettere un certificato che sarà accettato nel tuo sistema).

Utilizza una CA privata - CONs

• Devi configurare e proteggere correttamente la tua root. Questo è più complesso di quanto possa sembrare e sbagliare potrebbe compromettere la sicurezza dell'intero sistema. Questo porta a un costo maggiore (se fatto correttamente).
• Devi risolvere il problema della distribuzione della radice della tua catena di fiducia ai clienti in modo sicuro. Questo è solitamente il caso in cui l'utilizzo di una CA privata fallisce prima perché ci sono pochi modi per farlo che si adatta bene o non è molto costoso.
• Devi impostare e controllare correttamente il modo in cui emetti i certificati. Ancora una volta, è facile sbagliare e difficile da ottenere, il che di solito porta a costi più elevati.

Si noti che molte di queste proprietà dipendono molto dal modo in cui si impostano le cose e si utilizza il certificato: se si utilizza il blocco dei certificati, ad esempio, si ignorano più o meno tutti questi problemi, ad eccezione dell'ancora di attendibilità distribuzione uno.

Affidarsi a un'agenzia di certificazione non ti dà alcun controllo sulla crittografia (a parte alcune agenzie di dubios che generano le chiavi per te).

Per ottenere una certificazione da un'agenzia, creare localmente le proprie chiavi, creare una richiesta di certificazione (CSR) per la chiave pubblica e inviare la chiave pubblica insieme alla CSR all'agenzia.

L'agenzia non ha accesso né influenza su crittografia (dati di crittografia e firma). Scegliere (o non scegliere) un'agenzia di certificazione potrebbe essere un dibattito su fiducia (fiducia degli altri nella tua identità, che è certificata dall'agenzia).

Un'agenzia di certificazione fornisce solo fiducia , non la crittografia.

Indipendentemente dal fatto che si utilizzi un certificato firmato da una CA o un certificato autofirmato, l'implementazione della crittografia / hashing dipende interamente da te.

La fiducia è importante. Come posso essere certo che qualsiasi cosa scarichi sul tuo sito Web provenga effettivamente da te e non da qualcun altro? Questo è ciò che fa una CA. Affermano di aver svolto una serie di indagini e hanno attestato che sei tu chi dici di essere.

Se mi fido che la CA abbia svolto una certa quantità di indagini, allora posso fidarmi che tu sia chi dici di essere.

D'altro canto, un certificato autofirmato è quasi inutile ai fini della fiducia, poiché in sostanza stai certificando la tua identità.