☰

当有人知道（网络服务器/CA 的）密钥时会发生什么？

tag-icon • tag-icon security certificate certificate-authority private-key
当有人知道（网络服务器/CA 的）密钥时会发生什么？

基本上，我有三个问题，如果能简单解释一下这些盗窃行为后果的区别我将非常感激：

  1. 当有人知道网络服务器的密钥时会发生什么？
  2. 当有人知道签署 Web 服务器证书的 CA 密钥时会发生什么？
  3. 当有人知道某个 CA 的密钥时会发生什么？

答案1

证书用于加密（以便只有涉及的两个对等方才能读取流量）和签名（以便您可以确定服务器是与您要连接的地址匹配的服务器）。考虑到这两个功能，我将尝试简要回答您的不同情况：

  1. 当有人知道网络服务器的密钥时会发生什么？
  1. 如果捕获到 HTTPS 服务的流量（过去、当前和将来），则可能会被解密，从而暴露凭证等敏感数据。
  1. 当有人知道签署 Web 服务器证书的 CA 密钥时会发生什么？
  1. 攻击者可能能够签署新证书，而认为签署了您的 Web 服务器的 CA 的客户端将信任该证书。这样，克隆的门户网站就可以通过认证为您服务，但实际上并非如此，从而冒充您的服务。
  1. 当有人知道某个 CA 的密钥时会发生什么？
  1. 这个比较棘手，有点像第 2 项的一般情况。问题是，使用受信任的 CA 私钥，您可以签署证书，并且这些证书将受到已经信任此 CA 的客户端的信任。这里有两种不同的妥协程度：如果中间 CA 密钥被泄露，您可以随时使用根密钥将其撤销​​。但是，如果根密钥被泄露，则该 CA 就完蛋了，如果您想要一个值得信赖的签名者，您必须启动一个新的 CA，这就是为什么通常建议对 CA 的根密钥进行极好的保护，您可以生成中间密钥进行签名，然后使用根密钥隔离或关闭服务器。

当您谈到大型 CA（Comodo、VeriSign 等）时，可信度对于它们至关重要，一旦系统信任它们，停止信任它们将需要软件更新。许多此类 CA 丑闻实际上已经导致整个公司倒闭，例如：StartSSL 和 DigiNotar。

希望对您有所帮助。问候

相关内容