SSL証明書を電子メールで送信しても安全ですか？
英国のリセラー経由で安価なComodo PositiveSSL証明書を注文したところ、次のファイルが自動的にZipファイルで電子メールで送信されたことに驚いた。
- ルートCA証明書-AddTrustExternalCARoot.crt
- 中間CA証明書-COMODORSAAddTrustCA.crt
- 中間CA証明書-COMODORSADomainValidationSecureServerCA.crt
- あなたのPositiveSSL証明書-domain_name.crt
さらに、証明書自体（最後のファイル）が電子メールの最後にテキスト形式で追加されます。
これは、セキュリティをあまり必要としないサイト用です。クレジットカードやその他の機密性の高い情報は処理しません。関連する秘密鍵に強力なパスフレーズを設定しました。
私は、この証明書が秘密鍵とパスフレーズなしでは役に立たないと仮定しても正しいですか？または、電子メールが危険にさらされていると考えることができる場合、これらのファイルがあれば、攻撃者が私のサイトのトラフィックを解読したいという利点がありますか？
私はすぐに証明書を再生成するつもりですが、Comodoが新しい「Zipファイル」を送信してくれるので心配です。私はむしろこれらすべてのファイルをリセラーのSSLウェブサイトからダウンロードしたいと思っています。
証明書は秘密鍵なしでは役に立たないと想定しているので、メールで送信することは大きなセキュリティリスクではなく、実際には一般的な方法です。証明書は公開されることになっています。Webサイトに接続すると、証明書も提供されるので、そこでメールをハッキングする必要はありません。
編集
接続を開始すると、サーバーは公開鍵を組み込んだ証明書を送信します。クライアントは、残りの通信の暗号化に使用される（対称）セッションキーを生成し、これを公開キーで暗号化します。これで、対応する秘密キーを持つサーバーだけがこのセッションキーを復号化し、それを使用して次のデータを復号化および暗号化できます。
このように、他の誰かがあなたの証明書を持っているかどうかは関係ありません。証明書に属している秘密鍵を持っていない限り、彼らはセッションキーを復号化できず、サーバーを偽装できません。 。
はい、Zipファイルで取得できるのは、サイトのすべての訪問者がTLSセッション（認証情報付きの公開鍵）を開始するたびに取得するものとまったく同じです。秘密鍵は、不正なアクセスから隠しておくべき唯一のものです。