Мне нужно отправить клиенту запрос на сертификат SSL (из IIS 6.0)
Они потребовали, чтобы его отправляли ТОЛЬКО в зашифрованном виде с помощью такого приложения, как Winzip.
У меня такой вопрос. Это действительно проблема?
Мое самое базовое понимание сертификатов состоит в том, что запрос не содержит никакой информации, которая могла бы помочь хакеру получить окончательный сертификат.
Я совершенно не прав?
CSR содержит только открытые ключи вместе с некоторой дополнительной информацией о сертификате. На самом деле здесь нет ничего секретного.
Вместо этого проблема заключается в защите целостности: как они могут быть уверены, что подписывают правильный CSR, и что он не был изменен при транспортировке. Для человека посередине несложно взять вашу CSR и заменить ее той, в которой MITM контролирует ключи.
Поэтому транспортировка CSR должна как-то защищаться целостностью. Зашифрованные форматы контейнеров - это один из способов обеспечения защиты целостности, наряду с (криптографическими) хэш-функциями или цифровыми подписями.