Mantieni la tua chiave privata al sicuro. Qualunque sia il tipo di certificato digitale che hai, la tua responsabilità è quella di mantenere la chiave privata assolutamente sicura. Se una persona non autorizzata ottiene l'accesso alla tua chiave privata, può assumere l'identità che il tuo certificato intende proteggere (ad es. Tu, la tua azienda e / o il tuo sito Web).
A volte, nonostante i tuoi migliori sforzi, la tua chiave privata può essere compromessa. Si dice che una chiave privata sia compromessa se il suo valore è stato divulgato a una persona non autorizzata o se una persona non autorizzata ha avuto accesso ad essa. Mentre può essere molto difficile sapere che una chiave privata è stata acquisita da cattivi attori, se identifichi una violazione della tua sicurezza, è meglio sbagliare dal lato della sicurezza e sospettare che la tua chiave possa essere stata compromessa.
Se la tua chiave privata viene mai compromessa, dovrebbe essere considerata un'emergenza e la tua priorità dovrebbe essere risolvere immediatamente il problema. Questo articolo ti aiuterà a riconoscere i segni di una chiave compromessa e quali misure adottare per ristabilire sicurezza e sicurezza.
Se la tua chiave è stata compromessa o sospetti che sia stata compromessa, puoi e devi inviare una richiesta di revoca alla tua CA. Se il tuo certificato è stato emesso tramite SSL.com, puoi farlo invia la tua richiesta di revoca qui.
Se si dispone di prove di una violazione della sicurezza, è possibile dimostrare che la richiesta di certificato non è stata autorizzata o la CA ritiene che la convalida del controllo del dominio non può essere considerata attendibile, il certificato deve essere revocato entro 24 ore.
Per la maggior parte degli altri motivi, principalmente per errore dell'utente, la CA può richiedere fino a 5 giorni per essere revocata.
I requisiti di base del forum CA / Browser specificano 15 motivi per cui potrebbe essere necessario revocare una chiave. Puoi leggi tutti e 15 qui, ma possono essere riassunti come:
• Si verifica (o si ritiene che si sia verificato) un incidente di sicurezza sul server (o su qualsiasi altro computer in cui viene utilizzata o archiviata la chiave privata).
• Un membro del personale con accesso alla tua chiave privata se ne va.
• Il file della chiave privata viene cancellato, distrutto o perso.
• Si è verificato un errore durante la generazione della coppia di chiavi.
Una violazione della sicurezza è un buon momento per aggiornare le tue pratiche di sicurezza e segnalare la tua chiave compromessa. Ancora una volta, è meglio sbagliare dal punto di vista della sicurezza del certificato. Se la chiave è stata compromessa o si sospetta che lo sia stata, inviare immediatamente una richiesta di revoca all'autorità di certificazione.
Perdere la chiave privata non è necessariamente un motivo per inviare una richiesta di revoca, a seconda di come l'hai persa. Se, ad esempio, hai cancellato accidentalmente il file e non è presente alcun backup, non è necessario presentare una richiesta di revoca. Invece, puoi contattare la tua CA per richiedere la riemissione del certificato. SSL.com può emettere un nuovo certificato da una nuova coppia di chiavi generata.
Se, tuttavia, lo hai perso in un modo che molto probabilmente potrebbe cadere nelle mani di qualcun altro, come un disco rigido che viene rubato o smarrito, probabilmente vorrai prendere provvedimenti per revocare il certificato.
Non tutte le situazioni richiedono la presentazione di una revoca. Invece, puoi utilizzare SSL.com SSL Manager Strumento (disponibile per gli utenti Windows) per semplificare il processo di re-keying, che richiederà la generazione di un nuovo CSR (utilizzando le stesse informazioni sulla tua richiesta originale). È inoltre possibile reinserire la chiave utilizzando il portale Web SSL.com o tramite API.
Riscrivere il certificato su base regolare è generalmente una buona pratica di sicurezza. Pensaci allo stesso modo dell'aggiornamento di una password sul tuo computer, è un altro modo per stare al passo con i cattivi.
Per proteggere la tua chiave privata, dovresti sempre sapere dove si trova. Se non sai dove si trova, controlla queste FAQ.
La maggior parte delle chiavi compromesse sono dovute a errori dell'utente o violazioni della sicurezza generali. Mantenere una buona igiene tecnologica aggiornando le password regolarmente, ricodificando il certificato mentre il personale filtra dentro e fuori, e altre buone pratiche sono modi solidi per proteggere la chiave privata e mantenere la certezza che stai cercando.
