Wachtwoord beveiligd SSL certificaat en hosting

[mithras]

Wij hebben een onderneming om webapplicaties te bouwen. Deze hebben ook soms SSL certificaten nodig (inloggen, betalen etc) en voor onze klanten bieden we ook hosting aan. We zijn geen hosting provider, maar dit is meer om het klanten gemakkelijk te maken. De hosting is een VPS bij een Nederlandse VPS aanbieder.

Nu willen we SSL certificaten kopen die met keyfiles werken. De keyfiles willen we eigenlijk met wachtwoorden aanmaken. Alleen, bij elke restart van apache moet je het wachtwoord dan opgeven. Onze VPS aanbieder heeft soms onderhoud of om een andere reden moet de VPS herstart worden, waarna dus apache niet meteen meestart.

Hoe kunnen we dit oplossen? Het wachtwoord aan onze leverancier geven lijkt me niet de beste oplossing, maar een certificaat zonder wachtwoord eigenlijk ook niet. Ik heb geen use cases op internet kunnen vinden hierover, veel mensen zeggen gewoon om een wachtwoordloos-sleutelbestand aan te maken (daar ben je lekker mee)...

[frickY]

Het is vrij gebruikelijk om geen passphrase op je server certificaat te hebben.
Waarom vind je dat zo een issue?

[mithras]

Als iemand toegang krijgt tot je server, is meteen je certificaat waardeloos? Dat lijkt me best een probleem? Of wordt er in zo'n geval het certificaat ingetrokken en een nieuwe versie gegenereerd?

[Boudewijn]

Je moet je hoster toch al vertrouwen . Ennuh als je de passphrase op de een of andere manier toch al op de server opslaat heeft je hoster hem in feite ook al in handen als je van kwade wil uitgaat.

[icyx]

Precies. Je kan wel het opstart script van Apache zo modificeren dat het de wachtwoorden via stdin aanvoerd ofzo, maar dan sla je de wachtwoorden er alsnog op.
Je hoster moet je kunnen vertrouwen. Bij twijfel ben je natuurlijk zo verhuist (inclusief revoken & opnieuw genereren van een certificaat).

[mithras]

Ok, dus de consensus is eerder om wél een wachtwoord aan te maken en die aan je hoster te geven. Dat liever dan géén wachtwoord aanmaken en het automatisch te laten starten?

[Boudewijn]

Mwa ik ken weinig bedrijven/hosters die dat zo gaan doen; meestal is het gewoon zonder passphrase .
Dat icm een goed intrusion detection system en sensible systeembeheer en ik zou het risico wel durven lopen.

[icyx]

Nou, ik zou hem gewoon weglaten. Het is natuurlijk niet alleen je hoster die met het restarten van apache te maken krijgt. Ook bij een reboot of services als SVCS kan apache worden herstart, waardoor je ook bij dat soort situaties met een niet automatische cyclus zit.
Neemt niet weg dat je het best kunt doen als je het echt belangrijk vind. maar houdt gewoon rekening een (veel) grotere downtime in zo'n situatie.

[Rolfie]

Je hebt natuurlijk ook niet het goedkoopste certificaat genomen? Maar een Extended Validation Certificaat?

Anders is het een hoop extra beheer, zonder extra toevoeging. Zoals al eerder gemeld, webserver certificaten zijn eingelijk altijd zonder wachtwoord.

[Boudewijn]

Wat maakt die EV uit in het kader van wel/niet passphrase?

[Verwijderd]

Boudewijn schreef op zondag 13 november 2011 @ 23:02:
Wat maakt die EV uit in het kader van wel/niet passphrase?

Niets

[Boudewijn]

Inderdaad, dat dacht ik ook.

[Megamind]

Daarnaast neem ik aan dat de keyfiles (die volgens mij altijd met een passphrase zijn beveiligd) niet op de server staan.

[Boudewijn]

Die zijn anders wel vrij hard nodig hoor .

[Rolfie]

Boudewijn schreef op zondag 13 november 2011 @ 23:02:
Wat maakt die EV uit in het kader van wel/niet passphrase?

Het maakt inderdaad technisch totaal niets uit, maar waarom zou je zulke beveiligingen nemen, voor een gewoon goedkoop certificaat?

[Verwijderd]

Megamind schreef op zondag 13 november 2011 @ 23:15:
Daarnaast neem ik aan dat de keyfiles (die volgens mij altijd met een passphrase zijn beveiligd) niet op de server staan.

Die staan doorgaans wél op de server en zijn doorgaans niet met een passphrase beveiligd.
Hoeft natuurlijk ook niet als de rechten juist ingesteld staan.

Bedenk even dat een beheerder toch al op systemcallniveau alle verkeer onversleuteld zou kunnen analyseren. Hetzelfde geldt voor het afvangen van de passphrase. Op een server die je niet vertrouwt, moet je nooit een wachtwoord (anders dan specifiek voor die server) of passphrase invoeren.

Een passphrase op een key is alleen voor transport.