让 ZNC 拥有我的私有 SSL 密钥的风险

Question

我有一个 VPS，上面运行着几个网站和我的 ZNC IRC 弹跳器。我为我的所有子域名购买了通配符 SSL 证书（这很愚蠢；如果只购买几个单域名证书，会便宜得多，但无论如何）。

我让 nginx 处理除实际 IRC 连接之外的所有 TLS。据我所知，没有办法让 nginx 位于 ZNC 前面以进行非 http/s 连接。因此，我拥有一份私钥和证书的副本，可供运行 ZNC 的用户.pem读取。znc

我相信 nginx 不会存在密钥泄露漏洞，而我相信 ZNC 的程度要高得多。我并不是认为 ZNC 是邪恶的，我只是认为 nginx 开发人员对此考虑得更多。

我是不是太担心了？如果让非特权帐户读取我的通配符私钥，我会面临什么风险？我应该为 IRC 购买单独的证书吗？我错了吗？nginx 可以将非 http 连接代理到上游吗？

Answer 1

也许你可以使用类似螺柱，隧道 在将流量传递到 ZNC 上游之前，在 TCP 层解开 TLS。我建议您首先尝试让它与 ZNC 网络流量一起工作（有很多解开 HTTPS 的示例），但解开应该同样适用于其他启用 SSL/TLS 的协议，如 irc。

话虽如此，你有点偏执。如果你遇到一个通过 znc 漏洞利用你的证书的攻击者，他们会用它做什么？共享相同证书的 MITM 服务？这是三个字母的代理机构领域，只需花 10 美元购买一个主机证书即可大大缓解。