是否必须在托管SSL证书的服务器上生成CSR？

54

是否有必要在将托管我的Web应用程序和SSL证书的同一台计算机上生成CSR（证书签名请求）？

SSL Shopper上的此页面是这样，但我不确定这是否正确，因为这意味着我必须为群集中的每个服务器购买单独的SSL证书。

什么是企业社会责任？CSR或证书签名请求是在将使用证书的服务器上生成的加密文本块。

ssl ssl-certificate csr

— 迈克·林
source

1

您在混淆“服务器”一词的不同含义。当您说“ 群集中的每个服务器 ”时，用“服务器”表示物理盒子。当他们说“ 将在其上使用证书的服务器上”时，它们表示提供服务的事物，无论它是不是物理盒子。（当生成CSR时，在将其发送给CA之前，请确保100％确保确切知道相应的私钥在哪里。没有它，证书将无用。）

— David Schwartz 2013年

61

不需要。不必在要托管结果证书的计算机上生成CSR。确实需要使用将与证书最终配对的现有私钥来生成CSR ，或者在CSR创建过程中生成其匹配的私钥。

重要的不是原始主机，而是私钥和生成的公钥是匹配对。

8

并且私钥仍然是私钥。不要只是到处复制它，然后通过电子邮件将其发送给您的伴侣，并请他为您生成csr。

— Ladadadada

4

将密钥+证书限制为在特定计算机上使用的因素是DNS（主机名需要匹配cn或SubjectAltName字段），以及唯一性。在多个服务器上使用相同的私钥不仅会产生较高的风险，而且软件会奇怪地检测出使用同一序列号的多个主机。（有充分理由）

— Andrew B

（此外，我也同意这个答案，我应该用“客户端感知的主机名”来表达）

— Andrew B

26

kce是完全正确的，它绝对不需要在同一台计算机上完成，但是确实需要从相关的私钥中完成。

我发布第二个答案的唯一原因是，没有人说您为什么要这样做。我生成的几乎每个密钥/ CSR集都是在笔记本电脑或台式机上完成的，然后将密钥安全地复制到将安装证书的服务器上，并将CSR发送给签名机构。原因是熵：SSL证书通常用于保护服务器的安全，并且服务器通常具有非常浅的熵池，这会削弱它们创建的密钥对或使创建花费很长时间。另一方面，台式机具有通过键盘/鼠标电缆连接的有用的随机性源，因此倾向于具有较深的熵池。因此，它们为需要高质量随机数的操作提供了更好的平台，密钥对生成就是其中之一。

因此，不仅可以在服务器外生成密钥/ CSR，而且我发现经常有这样做的充分理由。

— 疯了
source

2

我认为人类的风险大于熵的风险。根据操作系统和资产管理策略的不同，台式机也有很多风险，请不要忘记相关管理员的做法。（如果它是未加密的私钥，则在删除硬盘驱动器之前会对其进行粉碎吗？用户实践会冒着暴露密钥的风险吗？）PKI是我不信任很多人从头到尾理解的事情之一。，请不要理会人为错误因素，因此我质疑“经常有这样做的充分理由”的说法。否则，很有趣。

— 安德鲁B

这些都是合理的问题，尤其是如果将其变成用于生成密钥对的最佳实践列表时。对于那些谁希望借此真正严重的是，有一些很好的建议serverfault.com/questions/307896/... -问题是关于CA的产生和处理，但许多的这些想法也可以在密钥对最佳实践采纳代。

— MadHatter

现在很公平，谢谢。我只是觉得需要某种形式的免责声明，因为对于不了解将风险解释为最佳实践陈述所涉及的风险的普通管理员来说，这是危险的。如果钥匙可以被盗，那就结束了。

— 安德鲁B