ตัวตรวจสอบความถูกต้อง SSL Certificate Signing Request
การใช้ตัวตรวจสอบ CSR นั้นง่ายมาก:
ตัวตรวจสอบ CSR ใช้ในสถานการณ์ต่างๆ สำหรับการได้รับและการจัดการใบรับรอง SSL/TLS:
ก่อนส่ง CSR ไปยัง Certificate Authority (CA) ตรวจสอบว่า Common Name (ชื่อโดเมน) ชื่อองค์กร และรหัสประเทศถูกป้อนอย่างถูกต้อง การออกใบรับรองด้วยข้อมูลที่ไม่ถูกต้องอาจส่งผลให้เสียค่าใช้จ่ายและเวลาในการออกใบรับรองใหม่
หลังจากสร้าง CSR โดยใช้ OpenSSL หรือแผงควบคุมเซิร์ฟเวอร์ ยืนยันว่ามีเนื้อหาตามที่คาดหวัง โดยเฉพาะสำหรับ SANs (Subject Alternative Names) หรือ wildcard certificates ตรวจสอบว่าโดเมนหลายตัวรวมอยู่อย่างถูกต้อง
ตรวจสอบการปฏิบัติตามนโยบายความปลอดภัย ตัวอย่างเช่น ตรวจสอบว่ากำลังใช้ RSA 2048 บิตหรือสูงกว่า หรือ ECDSA (Elliptic Curve Cryptography) ตามที่ต้องการหรือไม่
เมื่อใบรับรอง SSL กำลังจะหมดอายุและมีการสร้าง CSR สำหรับการต่ออายุ ตรวจสอบว่ามีข้อมูลเดียวกัน (ชื่อองค์กร ชื่อแผนก ฯลฯ) กับใบรับรองก่อนหน้านี้
เมื่อมีการสร้าง CSR ที่แตกต่างกันบนเว็บเซิร์ฟเวอร์หรือโหลดบาลานเซอร์หลายตัว ระบุว่า CSR ใดเป็นของเซิร์ฟเวอร์ใดโดยการตรวจสอบเนื้อหา CSR
เมื่อเกิดข้อผิดพลาดในการติดตั้งใบรับรองหรือคำเตือนของเบราว์เซอร์ ตรวจสอบว่าเนื้อหา CSR และใบรับรองตรงกันหรือไม่ Common Name หรือ SANs ที่ไม่ตรงกันเป็นสาเหตุที่พบบ่อย
เมื่อการตรวจสอบความปลอดภัยหรือข้อกำหนดการปฏิบัติตามกำหนดให้รายงานอัลกอริทึมคีย์สาธารณะหรือความยาวคีย์ของใบรับรองที่ใช้งาน ดึงข้อมูลนี้จาก CSR
CSR (Certificate Signing Request) คือข้อมูลอิเล็กทรอนิกส์ที่ส่งไปยัง Certificate Authority (CA) เมื่อได้รับใบรับรอง SSL/TLS CSR ประกอบด้วยข้อมูลที่จะรวมอยู่ในใบรับรอง (ชื่อโดเมน ชื่อองค์กร สถานที่ ฯลฯ) และคีย์สาธารณะ
CSR รวมข้อมูลต่อไปนี้:
CSR ใช้การเข้ารหัสแบบคีย์สาธารณะ:
CSR สามารถสร้างได้โดยใช้เครื่องมือต่อไปนี้:
ตัวอย่าง: openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr
CSR โดยทั่วไปจะเข้ารหัสในรูปแบบ PEM (Privacy Enhanced Mail) เป็นข้อความที่เข้ารหัส Base64 ในรูปแบบต่อไปนี้:
-----BEGIN CERTIFICATE REQUEST----- MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxDTALBgNVBAgMBFV0YWgxDzANBgNV ... -----END CERTIFICATE REQUEST-----
โดยการตรวจสอบว่า Common Name และข้อมูลองค์กรถูกต้องก่อนส่ง CSR ไปยัง CA คุณสามารถลดค่าใช้จ่ายในการออกใบรับรองใหม่
ตรวจสอบว่ากำลังใช้ความยาวคีย์ที่ต้องการ (เช่น RSA 2048 บิตหรือสูงกว่า) หรืออัลกอริทึม (แนะนำ ECDSA) ที่ระบุไว้ในนโยบายความปลอดภัยขององค์กรของคุณ
เมื่อเกิดข้อผิดพลาดในการติดตั้งใบรับรองหรือคำเตือนของเบราว์เซอร์ ระบุสาเหตุได้อย่างรวดเร็วโดยการตรวจสอบเนื้อหา CSR
สำหรับ wildcard หรือใบรับรองหลายโดเมน ตรวจสอบว่า Subject Alternative Names (SANs) รวมอยู่อย่างถูกต้อง
ไม่จำเป็นต้องจำคำสั่ง OpenSSL ตรวจสอบเนื้อหา CSR ได้อย่างง่ายดายในเบราว์เซอร์
ข้อมูล CSR ถูกประมวลผลในเบราว์เซอร์และไม่ถูกส่งไปยังเซิร์ฟเวอร์ ช่วยให้สามารถตรวจสอบข้อมูลที่ละเอียดอ่อนได้อย่างปลอดภัย
แม้ว่า CSR จะมีเฉพาะคีย์สาธารณะ อย่าเปิดเผยคีย์ส่วนตัวภายนอก หากคีย์ส่วนตัวถูกบุกรุก ใบรับรอง SSL จะกลายเป็นโมฆะและการสื่อสารสามารถถูกดักฟังได้
มาตรฐานปัจจุบันต้องการ RSA 2048 บิตหรือสูงกว่า หรือ ECDSA (Elliptic Curve Cryptography) RSA 1024 บิตถูกยกเลิกใช้แล้ว
แนะนำให้สร้าง CSR และคีย์ส่วนตัวใหม่สำหรับการต่ออายุใบรับรองแต่ละครั้ง การใช้คีย์ส่วนตัวเก่าต่อไปจะเพิ่มความเสี่ยงของการบุกรุก
Common Name (CN) ต้องตรงกับชื่อโดเมนที่จะใช้ใบรับรองอย่างแน่นอน ตัวอย่างเช่น www.example.com และ example.com ถือว่าเป็นโดเมนที่แตกต่างกัน
ใบรับรอง Wildcard (*.example.com) ใช้ได้กับโดเมนย่อย (sub.example.com) แต่ไม่ใช้ได้กับโดเมนหลัก (example.com)
CSR เป็นเหมือน 'แบบฟอร์มใบสมัคร' ที่ส่งไปยัง CA เพื่อขอรับใบรับรอง CA ตรวจสอบเนื้อหา CSR เซ็นชื่อแบบดิจิทัล และออกใบรับรอง SSL CSR มีคีย์สาธารณะ ในขณะที่ใบรับรอง SSL มีทั้งคีย์สาธารณะและลายเซ็นของ CA
ไม่ได้ คีย์ส่วนตัวไม่รวมอยู่ใน CSR CSR มีเฉพาะคีย์สาธารณะ เครื่องมือนี้แยกวิเคราะห์เฉพาะเนื้อหา CSR และไม่สามารถเข้าถึงคีย์ส่วนตัวได้
ใช่ หากคุณสร้าง CSR ด้วยข้อมูลที่ไม่ถูกต้อง (Common Name ชื่อองค์กร ฯลฯ) คุณต้องสร้างใหม่ด้วยข้อมูลที่ถูกต้อง การออกใบรับรองด้วย CSR ที่ไม่ถูกต้องอาจส่งผลให้มีค่าธรรมเนียมการออกใบรับรองใหม่เพิ่มเติม
ระบุ Common Name ด้วยเครื่องหมายดอกจัน (*) เช่น '*.example.com' วิธีนี้จะออกใบรับรองที่ใช้ได้กับโดเมนย่อยทั้งหมด เช่น sub.example.com, www.example.com ฯลฯ
CSR เองไม่มีวันหมดอายุ แต่จากมุมมองด้านความปลอดภัย แนะนำให้ใช้ทันทีหลังจากสร้าง CSR ที่ไม่ได้ใช้เป็นเวลานานจะเพิ่มความเสี่ยงของการบุกรุกคีย์ส่วนตัว ดังนั้นจึงแนะนำให้สร้างใหม่
SANs เป็นฟีเจอร์ส่วนขยายเพื่อครอบคลุมชื่อโดเมนหลายตัวด้วยใบรับรอง SSL เดียว ตัวอย่างเช่น ใบรับรองหนึ่งใบสามารถครอบคลุม www.example.com, example.com และ mail.example.com
ไม่ได้ เครื่องมือนี้ใช้สำหรับตรวจสอบและตรวจสอบเนื้อหา CSR ในการสร้าง CSR ให้ใช้ OpenSSL หรือแผงควบคุมเซิร์ฟเวอร์
ECDSA (Elliptic Curve Cryptography) ให้ความปลอดภัยเทียบเท่ากับความยาวคีย์ที่สั้นกว่า RSA ตัวอย่างเช่น ECDSA 256 บิตเท่ากับ RSA 3072 บิต อย่างไรก็ตาม เบราว์เซอร์และระบบเก่าอาจไม่รองรับ ดังนั้นหากความเข้ากันได้สำคัญ ให้เลือก RSA 2048 บิตหรือสูงกว่า