c# - 从证书颁发机构请求证书

Question

网络钓鱼问题。

我有一个 tcp 服务器应用程序，它使用 tls/ssl 证书并存储在 pkcs#12 文件中。假设 CA 安装在网络上的某个位置并且可以访问，那么通常的做法是从 CA（一次）以编程方式（C#）请求 ssl 证书并将其写入 pkcs#12 文件以供服务器使用。

这是正常的做法，还是更有可能的情况是从诸如 Thawte 或 Versign 等 CA 购买证书，专门针对该客户，并事先创建 pkcs#12 文件，并作为安装过程的一部分进行安装。

Answer 1

我认为这是一个论点可以向任何方向发展的情况。

如果您需要管理大量站点，则程序化证书请求和签名有其优点，如果出现严重错误（例如，如果有人劫持或监听您的初始请求），则会失去人工验证。在某些时候，需要以编程方式或作为人工操作员做出信任决定。

Bruce Schneier 的这篇论文更详细地讨论了支持PKI 密码学信任决策的 CA 架构的潜在风险。我相信这涵盖了许多与您的问题和设计相关的案例，您可能没有并且应该考虑。