web-dev-qa-db-ja.com

SSL CSRを再利用できますか？

新しいWebサイトをテストするための自己認証SSL証明書を生成しました。サイトが稼働する時が来たので、GeoTrustから証明書を購入したいと思います。自己証明書に対して生成したものと同じCSRを使用できますか、それとも新しいものを作成する必要がありますか？

リッチ

sslcsr
22
kim3er

同じキー、ドメイン（別名共通名）、連絡先の詳細、有効期間を使用している限り、同じCSRを使用できます。

正直なところ、CSRの生成は非常に単純な作業ですが、連絡先の詳細（多くのSSLプロバイダーが厳格なものです）を修正する必要がある場合は、大したことではありません。

20
Coops

あなたの例では、CSRを再利用する価値はないと思います。ただし、大規模で多様なチームApple iOS開発者（私と同じように）には、これを行う十分な理由があります。私たちは（実際に、Apple作成）すべての署名証明書とプッシュ証明書を同じ秘密鍵でオフにします。これにより、85以上のアプリで簡単に共同作業を行うことができます。このため、単一のCSRを使用し、常に同じものを使用します。キーは有効です。

私の知る限り、単一の秘密鍵からCSRを繰り返し生成する理由はありません。 間違っている場合は修正してください

12
Bruno Bronosky

期間限定の証明書を持つことの主な利点は、秘密鍵が漏洩した場合の被害を軽減することです。 CSRを再利用すると秘密鍵も再利用されるため、CSRを再利用すると、秘密鍵を所持している誰かが別の方法であなたになりすます可能性があります。

これを行わないでください。秘密鍵とCSRの両方の生成を自動化し、刻々と変化する秘密鍵をアプリケーションビルドサーバーとプッシュサーバーに配布する便利な方法を見つけることをお勧めします。ほとんどの単なる致命的な開発者は、通常、アプリストアのリリース/配布ビルドを行う必要がないため、秘密鍵は必要ありません。

5
Stefan L

これは実際には同じCSRを再利用できます。これは、

  • あなたの公開鍵（NumbersのみRSA暗号化に使用（特定の数学））
  • あなたの「件名」の詳細（あなたが誰であるか、どのドメインなど...）Textは、その公開鍵の所有者を識別するために使用されます

これが、証明書（PublicKey Certificateの短縮形）の目的です。

しかし、他の回答で述べられているように、秘密鍵を定期的に変更することは良い慣習であり、それは新しい証明書を意味し、それを取得するための新しいCSRを意味します。

CSRの内容を簡単に見ることができます

例えば.

$ openssl req -new -batch -subj "/CN=My Common Name/OU=My Org Unit/O=My Organisation" -sha256 -newkey rsa:2048 -keyout private.key -nodes -out request.csr
Generating a 2048 bit RSA private key
.............................................................................................+++++
.........+++++
writing new private key to 'private.key'
-----

$ ls
private.key  //  keep that private, the PublicKey side is easily be generated from this
request.csr // your PublicKey + Subject details

CSR

$ openssl req -in request.csr -text -noout
Certificate Request:
    Data:
        Version: 1 (0x0)
        Subject: CN = My Common Name, OU = My Org Unit, O = My Organisation
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                RSA Public-Key: (2048 bit)
                Modulus:                    ///////// Matches the PrivateKey modulus
                    00:b1:e8:de:e6:bf:21:45:51:75:15:23:5e:6e:7a:
                    7d:95:53:e5:d5:ec:5b:38:cd:7f:38:2d:53:8a:54:
...
                    fe:b5:78:de:9b:c1:ee:c1:51:6f:fd:fb:0e:62:09:
                    03:87
                Exponent: 65537 (0x10001)   ///////// Matches the PrivateKey publicExponent
        Attributes:
            a0:00
    Signature Algorithm: sha256WithRSAEncryption
         a1:44:1f:b2:ec:c0:82:bc:99:da:69:ce:3e:77:9f:46:51:95:
...
         3b:2d:84:e3:73:ac:be:c8:da:29:fd:62:90:11:dd:8a:a6:4f:
         7b:f8:ac:f1

そしてPrivateKey

$ openssl rsa -in private.key -text -noout
// all the below are numbers that takes part in Mathematical encryption (search for RSA maths)
RSA Private-Key: (2048 bit, 2 primes)

// The Numbers that can be freely published
modulus:
    00:b1:e8:de:e6:bf:21:45:51:75:15:23:5e:6e:7a:
    7d:95:53:e5:d5:ec:5b:38:cd:7f:38:2d:53:8a:54:
...
    fe:b5:78:de:9b:c1:ee:c1:51:6f:fd:fb:0e:62:09:
    03:87
publicExponent: 65537 (0x10001)

// The Numbers that must be kept private !
privateExponent:
    0a:81:73:d8:30:65:28:90:bc:d7:38:b5:74:d4:aa:
...
    b1:9b:30:2e:a2:dd:46:c1:10:0f:b0:da:ac:b6:ea:
    01
prime1:
    00:e0:28:01:87:95:70:d0:b8:21:07:e0:4f:96:a6:
...
    66:28:8f:3d:d7:eb:e6:b4:81
prime2:
    00:cb:2e:fe:1b:b6:30:ea:8d:9e:6d:23:83:d8:b6:
...
    4d:64:39:5c:9c:18:a0:14:07
exponent1:
    22:e2:36:f2:b9:af:f7:db:5f:d0:90:f8:f1:d1:ff:
...
    3a:31:a8:87:2c:c0:17:81
exponent2:
    5a:8b:3d:77:f1:ef:c8:86:85:a4:13:20:8d:31:a4:
...
    a5:ba:1e:37:fd:8d:50:7f
coefficient:
    00:d3:d3:b6:81:4b:a9:c2:aa:ff:e1:07:cb:de:ea:
...
    5c:e9:3b:d3:f7:67:82:c3:7f
1
Julien