0

当通过电子邮件客户端连接到邮件服务器时，我们被迫使用 SSL。然而，我们只有一个 IT 部门希望我们信任的自签名证书。

真正的安全影响是什么？

4

4 回答 4

1

假设根密钥没有泄漏，这会破坏整个公司的 CA 系统，唯一特定于这种使用自签名证书的问题是分发；证书颁发机构证书通常已经在需要连接到服务器的任何计算机上，而此证书需要手动分发。

如果一台新计算机需要连接到服务器并且没有证书，那么如果您仍然连接并且只接受证书，那么就没有真正的安全性。要使它有任何用途，它必须已经存在于计算机上。

于 2012-10-25T05:02:56.993 回答
1

正如其他两个所说，它基本上取决于您对公司的信任程度，无论如何这都是一个因素，所以这可能没什么大不了的（尽管他们可以轻松地从 startcom 获得免费的 SSL 证书，所以我不知道为什么他们会坚持自签名）。

但正如 Paul 在他的示例中所概述的，如果他们让您在您的计算机上安装自己的根证书也很重要；如果他们不这样做，而是每次都要求您单击警告框，我建议您大声说出来，并将此页面的链接通过电子邮件发送给您公司的 IT 部门。

于 2012-10-25T05:32:08.377 回答
0

这是一个比看起来更复杂的问题。简短的回答是，如果他们在保护其自签名根 CA 并将根部署到客户端计算机（非常重要！）方面遵循最佳实践，那么除了 X509 PKI 通常会产生的风险之外，没有其他风险。

更长的答案是，像往常一样，“这取决于他们削减了哪些角落”。这是风险更高的情况...

贵公司不直接在员工笔记本电脑上安装自签名根。当被问及这种疏忽时，他们说“这是异构计算环境中的真正 PITA”。这（取决于客户端和其他因素）迫使您在每次启动客户端时选择通过不受信任的对话框单击“继续”。大不了吧？它仍然是加密的。有一天你在马德里，在一家五星级酒店享受客房服务（作为公司内的一颗冉冉升起的新星，你得到了最豪华的任务），然后你打开你的笔记本电脑完成一些工作......

你总是连接到 VPN，但是你上次让笔记本电脑进入睡眠状态时让你的邮件客户端保持打开状态，它会抛出同样令人讨厌的警告，它总是在你打开它时显示。您可以快速单击对话框，因为您的 IT 部门已对您进行了培训。可悲的是，这次是不同的证书。如果您直接检查过它（您有过目不忘的记忆并且喜欢比较 base64 编码的公钥），您不会点击，但您很着急，现在运行酒店捕获门户的无良酒店经理知道您的电子邮件登录名和密码 (p@ssw0rd1)。

不幸的是，您在各种其他网站上使用 p@ssw0rd1，因此您发现您的 reddit、amazon 甚至 stackoverflow 帐户都被迅速入侵。更糟糕的是，你的老板会收到一封来自“你”的电子邮件，其中包含淫秽的咆哮和辞职通知。这一切都是因为您点击了之前已经点击过一千次的无害对话框。

当盲目地单击“不受信任的证书”对话框时，这种（不太可能的）情况是可能的。可以（希望）对用户进行培训以避免这种情况，方法是告诉他们不要单击此类对话框并将公司 CA 添加到操作系统/浏览器的受信任根列表中或使用受信任的公共 CA。

于 2012-10-25T05:23:45.493 回答
-1

如果您希望对此做任何事情，例如单击接受证书的对话框，那是错误的。

如果他们正确地完成了他们的工作，他们应该在内部分发证书，以便所有需要的网络元素都已经信任它，例如浏览器、邮件用户代理、应用程序......

换句话说，如果你知道它，那就错了。

于 2012-10-25T05:38:48.080 回答