Copia de seguridad de los archivos de clave privada del certificado SSL

Básicamente tienes tres opciones:

1. Haga una copia de seguridad de la clave con el resto de su servidor y asegúrese de que las copias de seguridad se manejen como datos confidenciales. Algunas soluciones de copia de seguridad pueden encriptar automáticamente las copias de seguridad, lo que puede ayudar a resolver problemas (pero tenga cuidado de que la encriptación no resuelva los problemas, simplemente reduce la confidencialidad de los datos a la confidencialidad de la clave de descifrado).

   En su caso, no hace copias de seguridad de sus servidores, por lo que esta opción realmente no se aplica a usted.

2. Realice una copia de seguridad de la clave privada solo . Como las claves privadas no cambian a menudo, no es necesario hacer una copia de seguridad semanal; De hecho, puedes hacer esa copia de seguridad "manualmente". Una clave privada es información confidencial, por lo que se recomienda algún tipo de protección. Un formato de archivo habitual para las claves privadas es PKCS # 12 , también conocido como "PFX" (o " .pfx file"). Este formato puede incrustar la clave y el certificado y algunos certificados adicionales (por ejemplo, CA intermedia), y admite el cifrado basado en contraseña.

   Es mejor que hagas una contraseña de protección fuerte (por ejemplo, 20 letras aleatorias). No escribirás esa contraseña a menudo, por lo que la olvidarás; por lo tanto, escriba una copia de la contraseña en un pedazo de papel, para guardarla en un sobre sellado en una caja fuerte. El propio archivo PFX se puede almacenar en cualquier lugar (bueno, no lo ponga en su cuenta de Facebook, ya que parecería un poco descuidado; pero si tiene una contraseña segura, esto proporcionará suficiente protección).

   Windows admite archivos PFX de forma nativa. Tenga en cuenta que Windows no permitirá la creación de un archivo PFX si la clave privada fue etiquetada, en la generación, con el indicador "no exportable". En sistemas Linux, use openssl (la herramienta de línea de comandos).

3. No haga una copia de seguridad de la clave en absoluto . Si su servidor se quema y debe ser creado de nuevo, simplemente obtenga un nuevo certificado para su CA. Los certificados SSL son para autenticación y cifrado de datos en tránsito , por lo que no hay una pérdida permanente de datos si la clave privada no está disponible. Algunas CA ni siquiera le facturarán por emitir nuevos certificados de "reemplazo" (el tipo de CA que le hace pagar por nombre de servidor y por año, no por certificado). En cualquier caso, el costo de un nuevo certificado se reducirá por el costo del nuevo hardware y, lo que es más importante, por el salario del administrador del sistema que tendrá que volver a instalar el sistema operativo, el software y el sitio web.

   Esta solución es la más sencilla de todas, y también puede ser rentable. Sin embargo, puede conllevar un retraso más prolongado antes de la reanudación de las actividades normales, por lo que preferirá hacerlo para los servidores de múltiples interfaces, donde una interfaz faltante es molesta pero no paraliza para el negocio y, por lo tanto, la recuperación puede demorarse unas horas.

Si su servidor utiliza un Hardware Security Module , no se aplica ninguno de los anteriores (excepto el posible "no copia de seguridad "estrategia); en su lugar, se realizará una copia de seguridad de la clave privada con el procedimiento específico de HSM.