Ak začínam správne chápať, tak Let's Encrypt je CA najvyššej úrovne, t.j. ten ISRG, ktorý ma Expiration Date v roku 2035, patrí Let's Encrypt?
Ano, Let's Encrypt je „obchodní značka“, pod kterou poskytují certifikační služby, ale právní subjekt za tím je veřejně prospěšná společnost Internet Security Research Group (ISRG). Dříve měly svůj kořenový certifikát křížově podepsaný ještě jinou autoritou, ale ten už letos přestali úplně používat.
Znamená to, že už pri vydávaní certifikátu má certifikát zapísaných viacero alternatív k (PKI) rodičovským certifikátom?
Certifikát je podepsaný vždy jedním klíčem certifikační autority, ale ten jeden klíč certifikační autority se může nacházet v několika různých certifikátech. Tj. ten koncový certifikát, který máte na HTTPS serveru, je jen jeden, ale může k němu vést několik různých cest od různých kořenových certifikátů. No a protože si při vydání certifikátu od Let's Encrypt stahujete i ty nadřazené certifikáty, můžete si zvolit, kterou cestu chcete poslat. Pokud si nevyberete, pošle LE to, co v daném času má nastavené jako výchozí.
Ak som správne pochopil, tak Let's Encrypt vydáva certifikáty na krátke obdobie (niekoľko mesiacov, alebo pár rokov)
Koncové certifikáty (třeba pro váš HTTPS server) vydává vždy s platností 90 dnů (a chtějí to ještě zkracovat). Mezilehlé a kořenové certifikáty mají nastavenou platnost 20 let, ale tak dlouho se nejspíš používat nebudou.
takže ak pôjdem cestou certifikačnej autority, tak vidím skôr riešenie v manažovaní tých koreňových trusted certifikátov pre klienta a to tak, že bude treba vystihnúť dobu, počas ktorej sa budú musieť certifikáty na všetkých embedded zariadeniach updatovať.
Ano, přičemž ta doba výměny bude u kořenových certifikátů určitě několik měsíců. Přičemž Let's Encrypt na to vždy opakovaně upozorňuje a na začátku zveřejňuje harmonogram, jak to bude probíhat. Třeba
tady je zpráva z července 2023 s harmonogramem výměny kořenového certifikátu, jehož platnost končí shodou okolností dnes.
V prípade, že si sám podpíšem certifikát, tak si musím update manažovať tiež sám. Poprípade nebudem updatovať certifikát vôbec, čím viac riskujem zvýšenú možnosť kompromitácie po nejakom čase...
Když ten certifikát nebudete updatovat vůbec (resp. nebudete mít tu možnost), existuje riziko, že když dojde ke kompromitaci privátního klíče, nemáte jak to vyřešit – jak ta zařízení přesvědčit, aby kompromitovanému klíči nevěřila. Tj. ani tak nejde o to, že by s delším používáním rostlo riziko kompromitace, to není tak velký problém – podstatné je, že kdyby k tomu došlo, nemáte jak tu situaci vyřešit. (Maximálně můžete informovat všechny zákazníky, ať to zařízení přestanou používat a odpojí ho od sítě.)
Pak je tam ještě jedno riziko – vystavíte certifikát s dlouhou platností, třeba 10 let, a pak zapomenete, že je potřeba to za 10 let nějak řešit. To se před pár lety stalo FlexiBee, když jim
po 10 letech vypršel certifikát podepisující licence.
21 Odpovědí
4623 Zhlédnutí