Что произойдет, если утечет секретный ключ центра сертификации (CA), такого как Verisign?

3369
Avinash Karaparambil

Мне просто интересно, что произойдет, если утечка личного ключа CA? Разве тогда не будет возможности сделать поддельные сертификаты для любого другого сайта?

6
В марте 2011 года [был обнаружен скомпрометированный орган регистрации филиала Comodo] (http://en.wikipedia.org/wiki/Comodo_Group#Iran_SSL_certificate_controversy) и выдано несколько поддельных сертификатов. grawity 12 лет назад 2
Вот еще один пример: http://en.wikipedia.org/wiki/DigiNotar ta.speot.is 12 лет назад 2

4 ответа на вопрос

12
ta.speot.is

Вопрос:

Что произойдет, если утечка личного ключа ЦС?

Встречайте ответ:

сделать поддельные сертификаты для любого другого сайта

7
heavyd

Да.

Verisign и другие доверенные корневые органы обеспечивают надежную защиту своих ключей, поскольку весь их бизнес зависит от наличия надежного сертификата.

Если произойдет утечка, то вскоре Microsoft, Mozilla и другие поставщики, которые ведут списки доверенных ЦС, удалят скомпрометированный сертификат из своих списков доверенных сертификатов, однако риск все равно будет.

https://www.eff.org/observatory Я говорю с этой веткой о ее будущем. Приблизительно за месяц до этого комментария Scheiner по безопасности обратился к этой проблеме. Они неудивительно, что не сделали правильную вещь. chiggsy 13 лет назад 1
5
David Thornley

На самом деле, если бы у вас был личный ключ CA, вы могли бы сделать реальные, но нелегитимные сертификаты. В них не было бы ничего фальшивого, кроме того, что они не были бы сделаны СА.

Предположительно те люди, которые поддерживают списки доверенных сертификатов CA, удалят скомпрометированный ключ, и CA должен будет создать новый ключ (тривиальный), убедиться, что он более безопасный (определенно не тривиальный), и распространять новые сертификаты. Между тем не каждый получит новый список без старого корневого сертификата, но с новым корневым сертификатом, а инфраструктура сертификатов будет еще более шаткой, чем сейчас.

2
Daisetsu

В случае утечки секретного ключа для CA они, скорее всего, отзовут ключ. Это предполагает, что вы говорите об одном из ключей, которые использует ЦС. Обычно ЦС имеет главный ключ, который подписывает несколько других ключей, которые используются доверенными органами, уполномоченными подписывать CSR для клиентов.

Если ЦС потерял свой закрытый ключ корневого уровня, используемый для подписи, то любой, кто его использует, может создать поддельный сертификат, и SSL будет в значительной степени бесполезен, пока все браузеры не выпустят обновление с новым списком доверенных ЦС.

Похожие вопросы