从证书颁发机构请求证书

Question

网络钓鱼问题。

我有一个 tcp 服务器应用程序，它使用 tls/ssl 证书并存储在 pkcs#12 文件中。假设 CA 安装在网络上的某个地方并且可以访问，那么通常的做法是从 CA（一次）以编程方式（C#）请求 ssl 证书并将其写入 pkcs#12 文件以供服务器使用。

这是否是正常做法，或者更可能的情况是从诸如 Thawte 或 Versign 等 CA 购买证书，专门针对该客户，并事先创建 pkcs#12 文件，并作为其中的一部分进行安装安装过程。

Answer 1

我认为这是一个争论可以去任何方向的情况。

如果您需要管理大量网站，则程序化证书请求和签名有其优点，如果出现严重错误（例如，如果有人劫持或监听您的初始请求），则会失去人工验证.在某些时候，需要以编程方式或作为人工操作员做出信任决定。

This paper by Bruce Schneier 更详细地讨论了支持PKI cryptography 的信任决策的 CA 架构的潜在风险。我相信这涵盖了许多与您的问题和您的设计相关的案例，您可能没有并且应该考虑。