Sì, dovresti assolutamente rifiutare la CSR. Inoltre, dovresti cambiare il tuo provider di hosting perché sembra che non sappiano cosa stanno facendo.

È già abbastanza grave che ti abbiano inviato la chiave privata via e-mail, cioè tramite un mezzo non sicuro . Tuttavia, l'hanno anche mandato a qualcun altro, il che rappresenta una completa violazione della riservatezza.

Inoltre, mi chiedo perché ti hanno inviato la chiave privata: dovrebbe essere installata sul server, cosa che possono fare da soli.

Se fossi al tuo posto, rifiuterei di accettare questo certificato SSL. Il motivo è che se qualcuno entrasse in una delle email che ha ricevuto la chiave privata, sarebbe in grado di scaricarlo e quindi impersonare il server in diversi attacchi ai client, come man in the middle o simili. Anche nel caso in cui uno degli indirizzi email di ricezione fosse scritto in modo errato, qualcuno potrebbe già avere la chiave privata. Probabilmente esistono anche molti altri scenari in cui questa chiave privata potrebbe essere scaricata e utilizzata da un utente malintenzionato.

Anche la notifica all'azienda di non condividere la chiave privata dovrebbe essere importante, per assicurarsi che l'azienda non ha inviato la chiave privata altrove: la chiave privata è stata inviata a te e ad altri CC in questa email, ma non puoi sapere se l'azienda non ha inviato un'e-mail separata con la chiave privata da qualche altra parte.

C'è un motivo per cui la chiave privata è chiamata chiave privata

Tieni presente che questa è principalmente la mia opinione personale e che non sono un esperto di SSL.

Sì, dovresti assolutamente rifiutare la CSR.

Se devi riconsiderare il provider di hosting, dipende.

Hanno persino contattato qualcun altro,

C'è qualche motivo per cui la società di hosting dovrebbe conoscere la struttura interna della tua azienda? La persona che fa questo è un account manager designato che è stato specificamente assegnato alla tua azienda e ha la responsabilità di sapere chi è chi nella tua azienda? La tua azienda ha fornito informazioni sufficienti all'account manager su come è strutturata la tua azienda e chi è autorizzato a fare cosa? In caso contrario, potrebbe essere in parte colpa tua (azienda) per non aver chiarito loro come dovrebbero inviarti la chiave.

Nella maggior parte degli account di hosting, se non hai un account designato manager che ha familiarità con il tuo settore di attività, avresti dovuto rendere molto esplicito al loro supporto tecnico come inviarti le chiavi, chi dovrebbe riceverle e se desideri o meno ricevere la chiave in primo luogo. Non dare per scontato che un personale di supporto tecnico conosca la situazione della tua azienda e non dare mai per scontato che un personale di supporto tecnico che non è il tuo account manager designato ricordi chi sei da una precedente interazione.

ed è in Gmail

Ti rendi conto che anche l'invio di una CSR tramite e-mail non è molto sicuro, giusto? È abbastanza possibile che qualcuno (un insider che lavora in Gmail o in un APT), intercetti l'email contenente il CSR, sostituisca il CSR che l'host ti invia con il proprio CSR e firmi la CSR della società di hosting alla società di hosting stessa. Ciò consentirebbe loro di utilizzare in seguito i certificati contraffatti per MITM tra te, i tuoi utenti e la società di hosting.

Un CSR deve essere consegnato su un canale autenticato (ad esempio, inviano il certificato a un sito HTTPS che controlli o dovrebbero firmare il CSR con una chiave GPG che pubblicano sul loro sito), o almeno dovresti fare un'impronta digitale verifica e sia tu che il tuo host dovete avere un modo per identificare e autenticare l'altra parte. La configurazione di un canale autenticato può essere un processo piuttosto complicato e non è qualcosa che sarà disponibile in provider di hosting a basso costo o in quelli che non sono specializzati in hosting aziendale ad alta sicurezza.

Se non lo fai Non specificare come la tua azienda richiede che la CSR venga consegnata, e soprattutto se non sei gestito da un account manager che dovrebbe sapere che tipo di attività stai facendo, allora la maggior parte delle società di hosting presumerebbe ragionevolmente che tu sia una società di sicurezza minima. La maggior parte delle persone che lavorano in una società di sicurezza minima considererebbe avere una copia della chiave privata un valore più elevato rispetto alla sicurezza di non controllare la chiave, non è irragionevole che lo dica da te.

Prima di prendere in giro me stesso, vorrei confermare che la chiave privata per un certificato "SSL" (TLS) non deve mai lasciare il server?

Dipende, ci possono essere buone ragioni per lasciare il server. Ad esempio, potresti voler utilizzare lo stesso certificato su server server o potresti volere una chiave di backup per il blocco della chiave.

Ma assolutamente dovrebbe essere trattato come un prezioso segreto, solo memorizzati su macchine di cui ti fidi e se ha bisogno di spostarsi tra i sistemi, dovrebbe essere fatto in modo adeguatamente protetto.

Il mio consiglio sarebbe di allontanarti immediatamente da questi pagliacci.

Probabilmente volevano che tu avessi l'intera coppia chiave / certificato nel caso in cui volessi usarla altrove.

Avere la chiave privata fluttuante è una preoccupazione legittima per la sicurezza, soprattutto se non la utilizzerai. Spiega che questo certificato è solo per il provider di hosting e chiedi loro di riemettere il CSR e inviarlo senza una chiave privata. Verifica che l'identificazione personale CSR cambi.

Sembra che trattino il certificato come un modo per far apparire un lucchetto verde più che come un dispositivo di sicurezza, che è probabilmente un segnale di avvertimento. Considera un hosting diverso se possibile e / o se il tuo sito gestisce informazioni molto sensibili.

Sono assolutamente incompetenti in materia di sicurezza. Una chiave privata è, err, privata, per definizione. Serve per identificare legalmente il suo proprietario. Hanno reso possibile la falsificazione e il furto d'identità.

Tu dovresti inviare a loro la CSR, dopo averla generata tu stesso da la tua coppia di chiavi privata / pubblica e loro dovrebbero inviarti il ​​certificato firmato e la sua catena di autenticazione. Nient'altro.

Se ti stanno inviando chiavi private e CSR, il loro intero modello è rotto.

Cambia provider e ricevi indietro i tuoi soldi. meno. Hanno compromesso la tua sicurezza, quindi un'azione per perdita e danni potrebbe mentire. Almeno puoi minacciarli con esso per facilitare il processo di rimborso.