在多個服務上使用相同的X.509服務證書？

Question

我有一個應用程序公開多個WCF服務（每個不同的客戶端應用程序不同的門面）。現在我正在爲每個服務管理一個獨特的證書（從我們的內部證書服務器創建）（並且我爲多個環境執行此操作，例如dev，qa，staging，prod）。

MSDN似乎暗示此證書不僅用於加密通信，還用於「驗證服務到客戶端」，建議應使用不同的證書，以便一個服務與另一個服務相區分，即使在同一臺服務器上也是如此。但是，我覺得我可以「欺騙」並在所有服務上使用相同的證書（至少在每個環境中） - 本質上是應用程序級證書。它仍然可以確保服務來自正確的應用程序。

那麼這個「欺騙」有多少？我是否將規則彎曲得太遠了？很顯然，這是我的應用程序和我的服務，所以我可以自由地做我想做的事 - 但我想避免在線以外着色太多。

Answer 1

如果您未使用證書進行客戶端證書身份驗證或數字簽名/驗證，並且僅在服務器端使用SSL加密證書，則可以使用相同的證書。

客戶將較少的證書'信任'在他們各自的信任庫/證書庫中。但是，如果您的安全要求只需要服務器端SSL以上的服務器端SSL，那麼最好使用不同的證書，以便服務器不能互相模擬。

我建議擁有一個生產證書和另一個可以共享您的測試，qa和dev環境的證書。您也可以爲非prod服務器使用自簽名證書。