SSL Валідатор Заявок на Підпис Сертифікатів
Використання CSR Перевірки дуже просте:
CSR Перевірка використовується в різних сценаріях для отримання та керування SSL/TLS сертифікатами:
Перед відправкою CSR до Центру Сертифікації (CA), перевірте, що Загальна Назва (доменне ім'я), назва організації та код країни введені правильно. Видача сертифіката з неправильною інформацією може призвести до дорогого та тривалого перевидання.
Після генерації CSR за допомогою OpenSSL або панелі керування сервером, підтвердіть, що він містить очікуваний вміст. Особливо для SANs (Альтернативних Назв Суб'єкта) або wildcard сертифікатів, перевірте, що кілька доменів правильно включені.
Перевірте відповідність політикам безпеки. Наприклад, перевірте, чи використовується RSA 2048-біт або вище, або ECDSA (Криптографія Еліптичної Кривої), як це потрібно.
Коли термін дії SSL сертифіката наближається і генерується CSR для оновлення, перевірте, що включена та сама інформація (назва організації, назва відділу тощо), як і в попередньому сертифікаті.
Коли різні CSR генеруються на кількох веб-серверах або балансувальниках навантаження, ідентифікуйте, який CSR для якого сервера, перевіривши вміст CSR.
Коли виникають помилки встановлення сертифіката або попередження браузера, перевірте, чи збігаються вміст CSR та сертифіката. Невідповідності в Загальній Назві або SANs є частими причинами.
Коли аудити безпеки або вимоги відповідності вимагають звітування про алгоритм публічного ключа або довжину ключа сертифікатів, що використовуються, витягніть цю інформацію з CSR.
CSR (Заявка на Підпис Сертифіката) - це електронні дані, надіслані до Центру Сертифікації (CA) при отриманні SSL/TLS сертифіката. CSR містить інформацію, яка має бути включена в сертифікат (доменне ім'я, назва організації, місцезнаходження тощо) та публічний ключ.
CSR включає наступну інформацію:
CSR базуються на криптографії з публічним ключем:
CSR можуть бути згенеровані за допомогою наступних інструментів:
Приклад: openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr
CSR зазвичай кодуються у форматі PEM (Privacy Enhanced Mail). Це Base64-кодований текст у наступному форматі:
-----BEGIN CERTIFICATE REQUEST----- MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxDTALBgNVBAgMBFV0YWgxDzANBgNV ... -----END CERTIFICATE REQUEST-----
Перевіривши, що Загальна Назва та інформація про організацію правильні перед відправкою CSR до CA, ви можете зменшити витрати на перевидачу сертифікатів.
Перевірте, що використовується необхідна довжина ключа (напр. RSA 2048-біт або вище) або алгоритм (рекомендується ECDSA), зазначений в політиці безпеки вашої організації.
Коли виникають помилки встановлення сертифіката або попередження браузера, швидко визначте причину, перевіривши вміст CSR.
Для wildcard або multi-domain сертифікатів, перевірте, що Альтернативні Назви Суб'єкта (SANs) правильно включені.
Не потрібно запам'ятовувати команди OpenSSL; легко перевіряйте вміст CSR у вашому браузері.
CSR-дані обробляються в браузері і не надсилаються на сервери, що дозволяє безпечно перевіряти чутливу інформацію.
Хоча CSR містять лише публічні ключі, ніколи не розкривайте приватні ключі зовні. Якщо приватний ключ скомпрометований, SSL сертифікат стає недійсним і комунікація може бути перехоплена.
Поточні стандарти вимагають RSA 2048-біт або вище, або ECDSA (Криптографія Еліптичної Кривої). RSA 1024-біт є застарілою.
Рекомендується генерувати новий CSR та приватний ключ для кожного оновлення сертифіката. Продовження використання старих приватних ключів збільшує ризик компрометації.
Загальна Назва (CN) повинна точно відповідати доменному імені, де буде використовуватися сертифікат. Наприклад, www.example.com та example.com вважаються різними доменами.
Wildcard сертифікати (*.example.com) дійсні для піддоменів (sub.example.com), але НЕ для основного домену (example.com).
CSR - це як 'форма заявки', надіслана до CA для отримання сертифіката. CA перевіряє вміст CSR, цифрово підписує його та видає SSL сертифікат. CSR містить публічний ключ, тоді як SSL сертифікат містить як публічний ключ, так і підпис CA.
Ні, приватні ключі НЕ включені в CSR. CSR містять лише публічні ключі. Цей інструмент тільки аналізує вміст CSR і не може отримати доступ до приватних ключів.
Так, якщо ви згенерували CSR з неправильною інформацією (Загальна Назва, назва організації тощо), вам потрібно перегенерувати його з правильною інформацією. Видача сертифіката з неправильним CSR може призвести до додаткових зборів за перевидачу.
Вкажіть Загальну Назву зі зірочкою (*), наприклад '*.example.com'. Це видасть сертифікат, дійсний для всіх піддоменів, таких як sub.example.com, www.example.com тощо.
Самі CSR не мають терміну дії, але з точки зору безпеки рекомендується використовувати їх одразу після генерації. CSR, залишені невикористаними протягом тривалих періодів, збільшують ризик компрометації приватного ключа, тому рекомендується перегенерація.
SANs - це функція розширення для покриття кількох доменних імен одним SSL сертифікатом. Наприклад, один сертифікат може покривати www.example.com, example.com та mail.example.com.
Ні, цей інструмент призначений для перевірки та аналізу вмісту CSR. Для генерації CSR використовуйте OpenSSL або панелі керування сервером.
ECDSA (Криптографія Еліптичної Кривої) забезпечує еквівалентну безпеку з коротшими довжинами ключів, ніж RSA. Наприклад, ECDSA 256-біт дорівнює RSA 3072-біт. Однак старіші браузери та системи можуть не підтримувати його, тому якщо сумісність важлива, оберіть RSA 2048-біт або вище.