Contras de renovar um SSL de produção em um servidor de desenvolvimento?

Question

Eu trabalho no Tech. Suporte em uma empresa de web design. Muitos de nossos clientes anteriores são hospedados por outra empresa ("Empresa X"), mas renovam seus certificados SSL através de nós. Nós vendemos QuickSSLs da GeoTrust. Nós desenvolvemos em .NET, então toda hospedagem é IIS.

A empresa X decaiu desde que começámos (e depois parou) a recomendá-los e agora é difícil renovar os certificados SSL com eles. Por um tempo eles cobraram US $ 50 / renovação para cobrir seu tempo (CSR de exportação, instalar o CER). Eles freqüentemente movem sites para novos servidores e dizem que o SSL não pode transferir com ele (e, ocasionalmente, tentar vender seus próprios SSLs). É impossível explicar aos nossos clientes por que não podemos simplesmente reenviar o certificado para usar no novo servidor (só temos o CSR e o CER).

Então, em vez disso, quero solicitar esses certificados SSL do início ao fim em um dos nossos servidores IIS internos, exportar um PFX e enviá-lo para a Empresa X. Se eles o perderem, temos uma cópia do nosso lado e menos etapas para dar errado.

Não consigo encontrar mais ninguém que esteja fazendo isso. É uma má ideia ou apenas uma desesperada? Existe uma limitação técnica que está faltando (como o IIS6 para o IIS7)? Se o seu fornecedor de SSL fizesse isso, você seria adiado? Não consigo decidir se é uma ideia ruim ou óbvia.

Obrigado SF!

    

Answer 1

I can't find anyone else who is doing this. Is it a bad idea or just a desperate one?

Eu não acho que seja uma má idéia se você tiver sistemas em vigor para proteger as chaves que você não seja comprometida. Eu fiz isso algumas vezes para meus clientes quando soube que meu cliente não seria capaz de criar a chave e eu não confiei no host para não perder a chave.

Acho que não manteria as chaves de outra pessoa em uma caixa do IIS acessível publicamente. Eu sugiro que você crie as chaves para os seus clientes em uma máquina que esteja atrás de um bom firewall e seja muito segura.

If your SSL vendor did this would you be put off?

Eu ficaria um pouco insatisfeito com isso, mas sei como criar meus próprios certificados e não dou minhas chaves + certificados para algum serviço de hospedagem.

Acho que seria bom se:

• Você informa seus clientes que manterá uma cópia da chave e do certificado para eles.
• Você faz o melhor para garantir que eles compreendam o risco potencial
• Você oferece alternativas sobre como eles podem gerar eles mesmos ou encontrar um fornecedor que reemite uma chave em caso de perda.
• Você toma medidas para garantir que as chaves da sua chave estejam muito bem protegidas contra comprometimento.

Eles já estão confiando na 'Empresa X' com suas chaves + certificado e seu servidor, portanto, não devem precisar de uma configuração realmente de alta segurança.

    

Answer 2

Sabendo o quão sensível é a chave privada, eu ficaria um pouco desconcertado ao descobrir que meu provedor SSL fez isso. Mas, desde que seja tomado cuidado para proteger a chave privada enquanto ela estiver sendo transferida para o host e armazenada em backup, não há razão técnica para que você não possa fazer isso com segurança.