2

Добрый день!

Постараюсь коротко описать суть вопроса. Есть три сервера заказчиков, на каждый ставится служба написанная на C# с использованием WCF (хотя не думаю что это сильно важно). Заказчик должен подготовить SSL сертификаты и установить их на сервера. Служба успешно работает с самозаверенным сертификатом.

От заказчика пришло письмо с вопросом со следующим текстом: "Какие параметры должны быть у сертификата, в каком контейнере их нужно размещать? Может ли это быть один сертификат с несколькими SNI?"

  1. Вообще на сколько я понимаю они нам просто должны выдать имя хоста и порт для настройки службы, а как уж там они установят сертификаты нас мало должно волновать?
  2. Насчет SNI я думаю что вообще возможно сделать и один сертификат с тремя SNI, но надежней будет если это будет три сетификата. Верно ли это?
  3. Важны ли для меня параметры сертификата?
  4. Спрашивают про контейнер. Возможно я неправильно понимаю, это виды файлов в которых должен быть сертификат? По идее мне он не важен, т.к. я не работаю с самими фалами.

Я не спец по безопасности и боюсь, что быстро подготовить ответ на вопрос заказчика не получится, да и по договору они должны самостоятельно всё подготовить, без нашего участия. Но в то же время не хочется чтобы подготовленная нами служба не запустилась из-за сертификатов.

1 ответ 1

1

Видно, что специалисты с обеих сторон (и вы и заказчик) имеют слабое понимание о SSL-сертификатах, вопрос в общем-то про них и имеет малое отношение к WCF.

Если отвечать вкратце.

Контейнеры. Есть три вида контейнеров:

хранилища сертификатов

Если служба является службой Windows, службой, выполняющейся в режиме сервера без какого-либо пользовательского интерфейса от имени учетной записи сетевой службы, используйте хранилище локального компьютера.

Далее. С параметрами сертификата напутать что-то крайне сложно. Тут два варианта: либо покупают сертификаты для каждого хоста у коммерческой конторы типа Thatwe (для сайта subdomain1.mycompany.ru, subdomain2.mycompany.ru и subdomain3.mycompany.ru), либо используют собственный УЦ (Active Directory, server1.mydomain, server2.mydomain и server3.mydomain).

И в том и в другом случае очень сложно подобрать такие параметры сертификата, чтобы WCF "не взлетел". Просите "пачку обычного порошка", обычный сертификат (для официальных ответов между организациями: "к параметрам сертификата не предъявляется особых требований"). Главное - пусть проверят всю цепочку доверия до корневых сертификатов.

Про SNI. Тут кто-то плохо понимает технологию. Гуглите и просвещайтесь. SNI нужен, когда на одном и том же IP нужно развернуть три разных сайта. Вы же сказали "три сервера" (читай как "три разных IP-адреса"), SNI не играет никакой роли. Поэтому можете ответить "без разницы" или "да, может - но это совершенно необязательно, пока вы не будете хостить все N инстансов на одной машине". И даже в случае одного сервера можно как использовать N сертификатов, так и поставить один с несколькими SNI.

И последнее. Вам не всё ли равно, какие пропишут URL для сервиса? Вынесите настройки endpoint'ов в app.config и пусть как хотят, так и настраивают каждый инстанс. Пропишут <endpoint address="https://msk-srv-01.mycompany.tld:8084/url и пусть сами готовят сертификат для этого адреса (в конфигах параметры сертификата не задаются).

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.