Selbstsigniertes Zertifikat mit CA: TRUE und Schlüsselverwendung ist nicht zum Signieren von Zertifikaten eingerichtet - ist es sicher?

Wir haben eine solche Art von Zertifikat für die Entwicklung von Zwecken verwendet werdenSelbstsigniertes Zertifikat mit CA: TRUE und Schlüsselverwendung ist nicht zum Signieren von Zertifikaten eingerichtet - ist es sicher?

 X509v3 extensions: 
     X509v3 Basic Constraints: 
      CA:TRUE 
     X509v3 Key Usage: 
      Digital Signature, Non Repudiation, Key Encipherment 
     X509v3 Subject Alternative Name: 
      DNS:domain1.loc, DNS:domain2.loc

I CA siehe: TRUE hier und da von, dass ich bin mir nicht sicher, ob es sicher ist, dieses Zertifikat in OSX Schlüsselbund zu installieren als ein vertrauenswürdiger oder nicht (unter der Annahme, dass fast jeder Zugang zu seinem privaten Schlüssel hat). Ich sehe keine Zertifikatsunterzeichnung im Abschnitt "Schlüsselverwendung", aber CA: TRUE macht mich ein bisschen nervös. Ist es sicher, diesem Zertifikat zu vertrauen?

Quelle

2016-05-03 Anton Serdyuk

Dies bedeutet, es ist ein CA-Zertifikat, ich glaube, damit kann es verwendet werden, um andere Zertifikate zu unterzeichnen. von: https://www.phildev.net/ssl/opensslconf.html "Die erste x509-Erweiterung, die wir setzen, ist basicConstraints, und wir geben ihr einen Wert von CA: false, der, wie Sie vielleicht erraten haben, sagt, dass das Zertifikat nicht sein kann verwendet als CA. "https://www.phildev.net/ssl/creating_ca.html für omre über die CA: True Arena. Sie sollten sicher sein, wenn es eine Entwicklungsumgebung ist und Sie diese in Ihren Trusted CA Store importieren? –

Stack Overflow ist eine Website für Programmier- und Entwicklungsfragen. Diese Frage scheint off-topic zu sein, weil es nicht um Programmierung oder Entwicklung geht. Siehe [Welche Themen kann ich hier fragen?] (Http://stackoverflow.com/help/on-topic) in der Hilfe. Vielleicht [Super User] (http://superuser.com/) oder [Information Security Stack Exchange] (http://security.stackexchange.com/) wäre ein besserer Ort zu fragen. Auch [Wo veröffentliche ich Fragen zu Dev Ops?] (Http://meta.stackexchange.com/q/134306). – jww

Wenn der private Schlüssel weithin bekannt ist, ist es eine schlechte Idee, das Zertifikat für jeden Zweck zu vertrauen, unabhängig von den Angaben von das Zertifikat.

In Bezug auf die Behauptung von CA:TRUE in den Basiseinschränkungen Erweiterung ohne die Geltendmachung von keyCertSign in der Key Usage-Erweiterung, RFC 5280 hat folgende zu sagen:

If the keyUsage extension is present, then the subject public key 
MUST NOT be used to verify signatures on certificates or CRLs unless 
the corresponding keyCertSign or cRLSign bit is set.

Also, eine konforme Umsetzung wird Verwenden Sie dieses Zertifikat nicht zum Überprüfen von Signaturen auf Zertifikaten. Die tatsächliche Implementierung von OS X kann jedoch von RFC 5280 abweichen, insbesondere wenn das Zertifikat im Keychain explizit als trusted gekennzeichnet ist. (Ich verwende OS X, damit ich nicht überprüfen kann).

Quelle

2016-05-04 01:42:00 frasertweedale

Selbstsigniertes Zertifikat mit CA: TRUE und Schlüsselverwendung ist nicht zum Signieren von Zertifikaten eingerichtet - ist es sicher?

Antwort

Verwandte Themen