Hay muchos revendedores de certificados SSL: algunos son empresas bien conocidas con buena reputación (por ejemplo, registradores de nombres de dominio), mientras que otros son compañías pequeñas y desconocidas.
Está claro que los revendedores no tienen acceso a las claves privadas de los certificados adquiridos a través de ellos (a menos que la clave privada sea entregada o tomada del revendedor; CSR no no contiene clave privada). / p>
Pero la parte difícil son los procedimientos de validación realizados en la reemisión (emisión de un certificado similar con una clave privada diferente, durante el período de validez del certificado).
- Mi experiencia muestra que, al menos en algunas combinaciones de revendedor-CA, los certificados antiguos no se revocan automáticamente / inmediatamente al reemitirse. Esto conduce a una situación en la que varios certificados (con diferentes claves privadas) para el mismo nombre de dominio son válidos durante el mismo período de validez, comprados a través del mismo certificado de compra. También hay algunos casos de uso legítimos para esto (por ejemplo, si varios servidores que sirven el mismo sitio están protegidos con el "mismo" certificado y cada servidor tiene su propia clave privada). ¿Existen CA que revocan automáticamente los certificados antiguos durante la reemisión?
- Mi experiencia muestra que, al menos en algunas revendedores-CA combinaciones (al menos nivel de dominio), la revalidación se realiza siempre durante la reemisión. ¿Existe alguna reglamentación para que las CA hagan cumplir la re-validación en cada reemisión? ¿Existe el riesgo de que el revendedor malintencionado pueda engañar a CA y solicitar una nueva emisión del certificado sin el procedimiento de revalidación (es decir, puede el revendedor malintencionado generar su propio CSR, dárselo a CA / RA y firmarlo, alegando que su cliente está haciendo una nueva emisión)? En caso afirmativo, ¿existen CA cuyas políticas requieran volver a validarse en cada reemisión?
Básicamente, la pregunta es: ¿es seguro comprar certificados SSL de revendedores baratos (y desconocidos)? ¿O pueden abusar del proceso de reemisión (engañando a los CA / RA para emitir certificados fraudulentos)?