Estructura de la autoridad de certificación - mejores prácticas

Question

Estructura de la autoridad de certificación - mejores prácticas

#1 de Thomas Pornin (2 votos)
#2 de AJ Henderson (0 votos)

3

Estoy trabajando para una empresa que vende productos de software a clientes, algunos de los cuales no tienen los recursos y / o los conocimientos necesarios para crear y mantener su propia CA (utilizada para la comunicación SSL de nuestro software). En estos casos tenemos que proporcionarles los certificados. Los clientes son completamente independientes y NO deben poder comunicarse entre sí, es decir, no debe haber confianza SSL entre el Cliente I y el Cliente II. Tengo una pregunta bastante general sobre cómo construir mejor una estructura de CA de este tipo. Estas son las dos variaciones que actualmente se consideran.

CA raíz de la empresa con SubCA para cada cliente:

                    Root CA                  
        /               |              \
       /                |               \
 Customer I     Customer II       Customer III

CA independiente (raíz) para cada cliente:

 Customer I     Customer II       Customer III

¿Cuáles serían los pros y los contras de cada variante? ¿Existe una mejor práctica establecida para tal configuración?

public-key-infrastructure tls certificates certificate-authority x.509

pregunta Michael Seiwald 05.06.2014 - 12:20

fuente

2 respuestas

Lea otras preguntas en las etiquetas public-key-infrastructure tls certificates certificate-authority x.509

Al verificar una variable de sesión para ver si un usuario ha iniciado sesión, ¿es suficiente para ver si la variable está configurada? ¿Existe una manera confiable de simular la manipulación de la ruta de inicio de "Evil Maid Attack" cuando se usa bitlocker?

score 2 · Answer 1

Cuando las personas implementan sitios web HTTPS, a menudo compran "certificados SSL" de una CA comercial. Por lo tanto, muchos sitios utilizarán certificados emitidos por la misma CA raíz y, sin embargo, no confían entre sí. La misma situación aquí: el uso de una sola raíz no provocará relaciones de confianza entre clientes no deseadas.

score 0 · Answer 2

Use una tecla para firmar el certificado de su servidor y otra para firmar a todos sus clientes. No haga que confíen en el firmante para el certificado que están usando. No es importante que el cliente confíe en el certificado que está utilizando, es importante que la persona con la que se están comunicando (usted) lo haga.