从证书颁发机构请求证书

Question

网络钓鱼问题。

我有一个tcp服务器应用程序，它使用tls/ssl的证书并存储在pkcs#12文件中。假设CA安装在网络上的某个位置并且可以访问，那么从CA以编程方式(C#)请求SSL证书(一次)并将其写出到pkcs#12文件以供服务器使用是正常的做法吗？

这是正常的做法，还是更有可能的情况是从证书颁发机构购买证书，如Thawte或Versign等，专门为该客户购买证书，并预先创建pkcs#12文件，并作为安装过程的一部分进行安装。

Answer 1

我认为这是一个争论可以走到任何一条路的案例。

如果您需要管理大量站点，则程序化证书请求和签名有其优点，但如果出现严重错误(例如，如果有人劫持或监听您的初始请求)，则会失去人工中介的验证。在某些情况下，需要以编程方式或作为人工操作员做出信任决策。

This paper by Bruce Schneier进行了更详细的讨论，讨论了支撑PKI cryptography信任决策的CA架构的潜在风险。我相信这涵盖了许多与您的问题和您的设计相关的案例，您可能没有也应该考虑这些案例。