Selbstsigniertes vs. echtes SSL-Zertifikat für DEVELOPMENT-Umgebung

Question

Nehmen wir an, Sie haben eine Website, die SSL erfordert, und Sie verfügen über einen Produktionsserver, für den Sie ein von Verisign oder einer anderen vertrauenswürdigen Autorität ausgestelltes Platzhalterzertifikat haben. Sie möchten es auch lokal auf dem Computer Ihres Entwicklers mit SSL ausführen.

Möchten Sie das echte Zertifikat auf dem Computer Ihres Entwicklers verwenden oder lieber ein selbstsigniertes Zertifikat erstellen? Warum? Profis? Nachteile?

Persönlich würde ich eine Wildcard selbst signiertes Zertifikat aus mehreren Gründen erstellen:

• ich die Informationen zwischen dem Server haben wollen und der Browser verschlüsselt, die das selbstsignierte Zertifikat mir gibt. Ich muss mir selbst nicht beweisen, dass ich ich selbst bin.

• Wenn das Produktionszertifikat jemals kompromittiert und durch ein neues ersetzt wird, hat dies keine Auswirkungen auf die Maschine meines Entwicklers.

• Wenn ich das echte Zertifikat benutze und es durch ein neues ersetzt wird, kann es Tage dauern, bis ich eine Kopie des neuen bekomme - besonders in einer großen Organisation, in der der Entwickler nicht derjenige ist, der damit zu tun hat Kauf der Zertifikate.

• Ich bin nicht sicher, ob das echte Zertifikat mit irgendwelchen Einschränkungen kommt - Gibt es eine Grenze, wie viele Maschinen es zum Beispiel installiert werden kann? Wenn es zum Beispiel ein Limit von 5 Computern gibt und viele Entwickler es benutzen wollen, können Sie das Limit überschreiten. Mit dem selbstsignierten muss ich mir keine Sorgen machen.

Gibt es offizielle "Best Practices" zu diesem Thema?

Was sind Ihre Gedanken?

Answer 1

Ich stimme dir zu. Der Hauptgrund, den Sie nicht aufgelistet haben, besteht darin, dass die Verwendung des gleichen Zertifikats an zwei Stellen zwei Kopien des privaten Schlüssels erfordert, was ein Informationsleck und eine Sicherheitsverletzung darstellt.

Stellen Sie jedoch sicher, dass Sie das selbstsignierte Zertifikat korrekt implementieren, d. H. Indem Sie es in die relevanten Client-Truststores importieren. NOT durch die Installation des Trust-all-Zertifikats Sicherheitsverletzung Code, der oft in Antworten auf Fragen dieses Typs zu sehen ist.