Obtención de un certificado S / MIME sin revelar mi clave privada a la TTP

No es estándar para una CA comercial insistir en hacer sus claves privadas. Por razones que usted menciona.

Aquí hay un enlace que apunta a una colección de proveedores de CA que sugiere (y con razón) que lo más común es su navegador. para crear el par de claves y luego enviar la solicitud de firma de certificado a la CA. En mi experiencia con los certificados de Verisign de alto nivel, eso es cierto. Nunca probé las soluciones gratuitas / baratas.

Tenga en cuenta que, incluso cuando la CA lo guía a través de una solicitud basada en el navegador, es muy posible que tenga la clave privada almacenada únicamente en el navegador. Las compañías de CA dedican una cierta cantidad de esfuerzo a las pruebas de compatibilidad del navegador para que esto sea posible. No asuma que el servidor está generando la clave solo porque está usando un navegador. A menos que proporcione un "depósito de claves", mi experiencia ha sido que esto es poco probable.

En su mayor parte, mi experiencia con las compañías de CA ha sido que REALMENTE no quieren tomar en cuenta los factores erróneos: si desea enviar una solicitud casera de certificado siganture, es probable que tenga que encontrar un servicio eso cuesta más ... la razón es el costo puro: por lo general, hay muchas más personas involucradas en este enfoque, ya que las formas de solucionar esto son numerosas y una solicitud de certificado "genérica" a menudo tiene que ser desordenada para cumplir con la política de seguridad y las configuraciones requeridas por la CA.

Si es absolutamente necesario generar certificados con OpenSSL, diría que busque opciones de aprovisionamiento del servidor que le permitan configurarlo para que se parezca a un certificado S / MIME. Prepárese para pagar los costos del certificado del servidor.

Si no, revise dos veces el proceso y verifique que las claves se generen en el navegador.

Aunque una CA no necesita la clave privada para emitir un certificado, los certificados para S / MIME se utilizará para el cifrado : una vez que tenga un certificado S / MIME, las personas le enviarán correos electrónicos cifrados y los correos electrónicos permanecerán cifrados en su buzón.

Esto implica que perder su clave privada (por ejemplo, el disco duro de su computadora falla o su computadora portátil es robada) implica perder sus valiosos correos electrónicos. Esto es un problema. Para evitar eso, las claves de cifrado deben tener una copia de seguridad ( clave de custodia se puede ver como un tipo de copia de seguridad). En ese sentido, una CA que genera el par de claves y que guarda una copia de la clave privada puede ser un servicio muy útil.

Good CA debería ofrecerle la opción de generar la clave privada de su lado o de su lado. Si usted mismo genera la clave privada, y nunca la envía a la AC (solo la clave pública, como parte de la solicitud de certificado), entonces cualquier tipo de copia de seguridad es, por supuesto, su responsabilidad.

El modo predeterminado de la mayoría de CA es lo que es más fácil de operar y hace que la probabilidad de que un cliente iracundo o angustiado los llame lo más bajo posible. El proceso de generación de certificados se basará principalmente en la Web, pero el certificado y su clave privada deben estar in fine disponibles para la aplicación de correo del usuario, que puede ser bastante diferente de su navegador web. Enviar un archivo PKCS # 12 (PFX) al usuario como archivo es un método que funciona "en todas partes" (si una aplicación de correo es compatible con S / MIME, se puede importar un archivo PKCS # 12). La generación de claves privadas locales, el envío de una solicitud de certificado, la obtención del certificado y la importación, la restauración del enlace lógico entre la clave privada y el certificado, es un proceso que puede funcionar, pero depende del software específico involucrado (Tipo de SO, versión de SO, tipo de navegador, versión de navegador, tipo de aplicación de correo, versión de aplicación de correo). Muchas variantes implican un mayor riesgo de llamadas al servicio de asistencia, que es el mayor costo en la operación de una CA profesional.