訪問SSL證書的私鑰

Question

從安全角度給網絡服務訪問站點的SSL證書私鑰是否可以？

編輯：在問題中添加一些上下文 在此link的「使用RSA加密cookie」部分的第4步中，代碼使用「serviceCertificate」對cookie進行加密和簽名。這裏需要訪問證書的私鑰。

Answer 1

除了絕對必要的之外，最安全的方法是不要有任何訪問權限。在密鑰管理中訪問祕密密鑰和私鑰非常重要。爲了確保不引入漏洞，不要在其用例外使用私鑰也很重要（例如，SSL中的身份驗證與簽名數據不同）。

安全性是關於圖層的。可以引入越多且更好的安全層，就越安全。限制訪問是非常重要的。所以如果可以避免的話，不要混合你的傳輸層和應用層。

在我們公司，我們總是爲不同的用途創建單獨的證書。我們嘗試在不同的服務器上保留SSL處理和應用程序處理。應用程序服務器僅獲取認證詳細信息。

也就是說，我在一家專注於安全性的公司工作。您顯然可以使用較不嚴格的安全性，但如果您對其周圍的安全策略進行了深思熟慮，這是一件好事。如果你不確定，請聘請顧問。

Answer 2

如果你的意思是像apache這樣的服務......你別無選擇。另一種方法是在每次啓動時輸入密碼 - 但即使如此，軟件也可以訪問密鑰。

Answer 3

那麼，如果有人設法破解你的網頁腳本（通過SQL注入或其他），使得私鑰的副本被惡意黑客下載，那麼黑客將能夠建立虛假的SSL服務器，使你的SSL更加靈活。但是，爲了真正成功，黑客還需要注入僞造的DNS記錄，以便僞造服務器具有匹配的主機名。

話雖如此，很難不打開訪問私鑰到Web服務器本身 - 否則每次重啓Web服務器時都必須輸入私鑰密碼。