¿Qué tan malo es instalar el certificado raíz de otra compañía en su servidor?

Question

¿Qué tan malo es instalar el certificado raíz de otra compañía en su servidor?

#1 de CodesInChaos (10 votos)
#2 de Steffen Ullrich (6 votos)
#3 de Jake Adley (2 votos)
#4 de random65537 (1 votos)

8

Nuestra empresa utiliza un servidor web con un par de sitios web (privados y públicos, a través de HTTP y HTTPS, algunos de bajo riesgo y otros de alto riesgo, como pagos en línea u otros datos confidenciales, por ejemplo).

En nuestro último proyecto, nos comunicamos con una empresa asociada a través de servicios web. Querían usar sus propios certificados, emitidos por ellos mismos, para asegurar la conexión. Así que tuvimos que instalar su certificado raíz "PrivateCompany Root CA" en nuestro servidor web.

¿Qué tan malo es esto exactamente? ¿En qué escenarios se puede alterar nuestra seguridad?

tls certificates certificate-authority trust

pregunta sventevit 25.10.2014 - 12:51

fuente

4 respuestas

Lea otras preguntas en las etiquetas tls certificates certificate-authority trust

¿Qué tan seguro es el inicio de sesión automático de Windows? Almacenar CVC / CVV / CVV2 hasta que se procese el pago

score 10 · Answer 1

Así que tuvimos que instalar su certificado raíz "PrivateCompany Root CA" en nuestro servidor web.

¿Por qué? Las CA confiables a nivel mundial son útiles en clientes de propósito general como los navegadores.

Pero si consume servicios web específicos de un cliente personalizado, puede agregar esa CA localmente. Cada cliente SSL decente le permite influir en la validación de certificados. Por ejemplo, especificando una lista personalizada de CA.

Si lo haces de esta manera, esa CA solo se puede utilizar para interceptar esas solicitudes. Dado que la CA y el dominio de destino son propiedad de la misma entidad, esto no representa un gran riesgo. Es más seguro que usar las CA estándar.

¿Qué tan malo es esto exactamente?

Si ellos (o alguien que logró robar su certificado de CA) están en una posición de MitM en relación con su servidor, pueden interceptar cualquier tráfico SSL donde su cliente use el almacenamiento de CA global. No se limita a su dominio.

score 6 · Answer 2

Solo hay plena confianza con las CA que has instalado. Esto significa que no hay ninguna restricción que certifique que una CA de confianza pueda firmar. Por lo tanto, también puede firmar certificados falsos para sitios que no poseen (por ejemplo, banking.com) y usted los aceptará.

No sé cómo se comunica con el socio, pero con idiomas como Perl, Python, etc., puede especificar una tienda de CA, que solo se utiliza para esta comunicación específica. De esta manera, puede tener su comunicación normal y la comunicación con el socio utiliza diferentes conjuntos de CA confiables.

score 2 · Answer 3

En lo que respecta a la seguridad de otros certificados raíz de Autoridad de certificación (CA), entonces no hay problemas esperados si va a implementar un certificado SSL de Autoridad de certificación autorizado.

Si el certificado de seguridad es de una autoridad de certificados de confianza, nunca causará problemas de seguridad.

score 1 · Answer 4

Hasta cierto punto, lo que la empresa puede hacer está limitado a

Las restricciones de nombre (si se aplican)
Los usos de clave mejorados (si se aplican)

Por supuesto, esto depende de que el software del cliente valide correctamente todos y cada uno de los certificados intermedios en la cadena, hasta e incluyendo la raíz.

Es posible que algún software cliente no valide la cadena y / o omita ciertas comprobaciones, por lo que un certificado se considerará válido, incluso si la cadena está "correctamente configurada" para limitar el uso a fines específicos y / o dominios.

Para comprender la magnitud del problema del software, consulte esta búsqueda de google que trata sobre muchos enfoques de C # para deshabilitar la validación de certificados.