Au sujet des CSR, que j'ai abordé mais sans donner beaucoup de détails, je pense que je dois fournir une petite explication :
La CSR (Certificate Signing Request) contient en fait les diverses informations de la demande de certificat (nom du demandeur, et surtout domaine sur lequel il sera valide) associées à la clé publique de la paire clé publique/privée qui sera utilisée par la suite pour chiffrer les communications avec le serveur.
L'autorité qui délivre le certificat n'a besoin de valider que la CSR elle-même, qui n'est que la partie publique de la clé, sans accéder à la partie privée, ce qui signifie que l'autorité elle-même n'a aucun moyen de compromettre le certificat qu'elle vient de valider.
Finalement, le certificat fourni par l'autorité est la CSR signée par le certificat de l'autorité, et c'est ce certificat qui est envoyé par le serveur aux navigateurs qui le visitent pour leur permettre de chiffrer leurs données d'une manière qui ne pourra être déchiffrée que par le serveur, qui est seul à posséder la clé privée.
La clé privée n'est donc jamais passée par l'autorité de certification, elle ne quitte en principe jamais le serveur web, et il n'y a même pas besoin de faire confiance à l'autorité.
Mais tout ceci n'est vrai que si l'on génère la CSR soi-même sur le serveur, sans utiliser les outils souvent proposés par les autorités de certification pour simplifier la demande, avec lesquels c'est l'autorité elle-même qui génère clé publique, privée, CSR, et qui vous renvoie le tout, auquel cas il faut lui faire confiance pour ne pas stocker la clé privée de son côté.
# CSR
Posté par 못 옷 홋 ♨ (site web personnel) . En réponse au journal Qui traite des autorités SSL WoSign, Startcom et du peu de professionnalisme qui a causé leur perte. Évalué à 9.
Au sujet des CSR, que j'ai abordé mais sans donner beaucoup de détails, je pense que je dois fournir une petite explication :
La CSR (Certificate Signing Request) contient en fait les diverses informations de la demande de certificat (nom du demandeur, et surtout domaine sur lequel il sera valide) associées à la clé publique de la paire clé publique/privée qui sera utilisée par la suite pour chiffrer les communications avec le serveur.
L'autorité qui délivre le certificat n'a besoin de valider que la CSR elle-même, qui n'est que la partie publique de la clé, sans accéder à la partie privée, ce qui signifie que l'autorité elle-même n'a aucun moyen de compromettre le certificat qu'elle vient de valider.
Finalement, le certificat fourni par l'autorité est la CSR signée par le certificat de l'autorité, et c'est ce certificat qui est envoyé par le serveur aux navigateurs qui le visitent pour leur permettre de chiffrer leurs données d'une manière qui ne pourra être déchiffrée que par le serveur, qui est seul à posséder la clé privée.
La clé privée n'est donc jamais passée par l'autorité de certification, elle ne quitte en principe jamais le serveur web, et il n'y a même pas besoin de faire confiance à l'autorité.
Mais tout ceci n'est vrai que si l'on génère la CSR soi-même sur le serveur, sans utiliser les outils souvent proposés par les autorités de certification pour simplifier la demande, avec lesquels c'est l'autorité elle-même qui génère clé publique, privée, CSR, et qui vous renvoie le tout, auquel cas il faut lui faire confiance pour ne pas stocker la clé privée de son côté.