Por que preciso criar um novo CSR?

Question

Meu site em um servidor compartilhado tem um certificado SSL instalado e eu quero mover o certificado para um servidor dedicado que é fornecido por uma empresa de hospedagem diferente. A atual empresa de hospedagem diz que eles precisam de um novo CSR. Por que não posso simplesmente reinstalar o existente na nova máquina sem criar um novo CSR?

    

Answer 1

Se você estiver em um host compartilhado, é provável que o certificado em uso também seja usado para vários outros sites. Você deve poder verificar a lista de nomes alternativos de assunto (SANs) nesse certificado antigo.

Em tal situação, o certificado não é realmente seu, mas você autorizou sua empresa de hospedagem a receber um certificado que cobre o nome do seu domínio. Se eles lhe dessem a chave privada correspondente, eles efetivamente lhe dariam a capacidade de hospedar todos os outros nomes de host compartilhados naquele servidor, o que certamente não é aceitável para os outros clientes.

Mesmo que esse certificado não seja compartilhado com outros clientes, a empresa de hospedagem terá acesso à sua chave privada e, tecnicamente, poderá continuar a veicular seu nome de domínio. É uma boa prática recodificar seu certificado ao mudar de uma empresa de hospedagem para outra, pelo menos para assumir o controle do seu certificado antigo, longe da empresa antiga.

Ao mudar para um novo host, você deseja:

• para garantir que o certificado antigo seja revogado, para que a empresa de hospedagem não possa mais servidor seu nome de host com esse certificado;
• obtenha um novo certificado para seu novo host dedicado.

Para evitar que o certificado antigo seja usado, faz sentido gerar um novo par de chaves, além de revogar o certificado antigo (uma vez que quem controla esse certificado antigo também teria sua chave privada). Portanto, você precisa criar um novo CSR.

    

Answer 2

É provavelmente porque eles têm um sistema que não permite recuperar a chave privada original. Se eles usarem um tipo de HSM (Hardware Security Module), eles inseriram a chave privada no sistema assim que a geraram e depois fragmentaram a chave ou até mesmo o HSM tem uma funcionalidade para gerar uma solicitação que não exporte a chave privada.