Что будет с SSL-сертификатом после освобождения домена?

Question

[Վիտալի Լագունով]

1. Я зарегистрировал новый домен, который недавно кто-то освободил. Как я могу быть уверен, кроме пиннинга, что старый владелец не имеет сертификат с закрытым ключом на мой домен? Ждать 3 года?
2. Если я сам освободил домен, законно ли торговать SSL-сертификатом с закрытым ключом, который я успел получить до окончания пользования доменом? (имеется ввиду торговля сертификатом от чужого домена)

Answer 1

[Николай Корабельников]

1. Можете поискать сертификат для вашего домена тут.
2. Читайте условия, по которым вы его купили. Возможно там прописано, что это не допускается.
Со стороны законодательства запрещено скорее всего получение несанкционированного доступа к чужой информации, которое может быть реализовано с использованием закрытого ключа от не принадлежащего вам домена.

Comments

[Վիտալի Լագունով]

А как у этого CA получается искать сертификаты? Хотя не все находит.

[Николай Корабельников]

Насколько я знаю, по логу Certificate Transparency

Answer 2

[EvgeniyKonstantinov]

Ничего. Сертификат не привязан к регистрации домена.

1: Даже если он у него есть, то доменом то управляете вы и применять ему свой сертификат негде.
2: Вы SSL сертификатами никакими торговать не можете, так как вы не являетесь авторизованным центром сертификации

То что у вас остались ключ и сертификат от какого то домена вовсе не означает, что это ликвидный товар. :)

PS: А вообще вам стоит начать с того чтобы в принципе понять что такое SSL сертификаты, для чего они нужны и как они работают. Поскольку ваши вопросы однозначно говорят о том что вы этого не понимаете, иначе бы такие вопросы у вас не возникали.

Answer 3

[Վիտալի Լագունով]

To EvgeniyKonstantinov:

1. Ну с таким подходом можно вообще выложить свой сертификат в сеть и сказать "Всё-равно применять им негде". Либо вообще отключить https и сказать "Всё-равно в DNS мой IP прописан". А если я открыл банк и старый владелец выложит мой сертификат?
2. Я именно про сертификат от этого домена.

«Вовсе не означает, что это ликвидный товар» — дело не в стоимости, а является ли это нарушением законодательства, к примеру, РФ?

Comments

[EvgeniyKonstantinov]

Да именно можно, можно потому что наличие старого сертификата ничего не значит. Старый сертификат перестает быть валидным, как только генерируется новый сертификат для того же домена. И на этот процесс влияет только центр сертификации.

С тем же успехом вы можете взять openssl и нагенерировать себе сертификатов от google, microsoft.

Ликвидность это не про стоимость :)

[DevMan]

vitaliy2 отвечают под вопросом (как сначала и было сделано), а не новым ответом.

[DevMan]

vitaliy2 ну, допустим, это нарушает законодательство РФ. ну, допустим, я живу в Канаде. дальше что?
сертификаты можно генерировать пачками, только толку от них не будет никакого.

[Վիտալի Լագունով]

EvgeniyKonstantinov: при выпуске нового сертификата у другого CA старый сертификат отзывается? CA сотрудничают между собой и сообщают всем другим CA о том, что на этот домен получен другой сертификат? Есть ссылка с подтверждением, где можно почитать об этом?

DevMan: он сильно свёрнут по умолчанию оказался =(

[Extor]

EvgeniyKonstantinov , а если 2 сертификат был выпущен в другом центре сертификации? Старый все равно отзывается?

[EvgeniyKonstantinov]

vitaliy2 Вы спрашиваете чтобы узнать ответ или чтобы продвинуть свое представление о том как должна по вашему работать система сертификации?

Алексей Егорычев Нет, более того центр сертификации может выпустить валидный сертификат который у него не заказывали: habrahabr.ru/post/267583

Вообще все это обсуждение не имеет смысла во - первых в силу умозрительности выдуманных проблем, во - вторых отсутствия у топикстартера понимания проблемы помноженное на отсутствие желания понять ее.

[Վիտալի Լագունով]

EvgeniyKonstantinov: и то, и то. Мне как интересно узнать мнение людей по этому поводу, потому что, может, я просто что-то не так понимаю, так и обратить внимание на дыру в безопасности. Всё-таки когда от любого сайта у злоумышленников может так случайно оказаться валидный сертификат — это неприятно. Я понимаю, что оказаться он может и без этого, и что его непросто использовать, но всё-равно, неприятно, когда приватный ключ и валидный сертификат от твоего сайта есть у какого-то постороннего человека.

[Макс]

EvgeniyKonstantinov:
"Старый сертификат перестает быть валидным, как только генерируется новый сертификат для того же домена. И на этот процесс влияет только центр сертификации."
СА у нас вагон и маленькая тележка. Вы правда верите, что они обмениваются не только списками отозванных (а обмениваются ли и ими)? Где прописан ЗАПРЕТ получения 2-х сертификатов от разных СА, действующих одновременно?

[EvgeniyKonstantinov]

Макс: Я уже выше писал, что не верю :)

Answer 4

[Влад Животнев]

> что старый владелец не имеет сертификат на мой домен
Проверить на crt.sh

> законно ли торговать SSL-сертификатом
Законно, но бессмысленно. Смысл SSL как раз в том, чтобы приватный ключ ни к кому не попадал (кстати, к сертификатору приватный ключ тоже не должен попадать).
Продавать сертификат от чужого домена не владельцу этого домена - не законно. То есть прямо этого не запрещается, но случись чего - пойдете как соучастник.

Comments

[Վիտալի Լագունով]

Имеется ввиду торговать сертификатом вместе с приватным ключём, естественно.

[Влад Животнев]

vitaliy2: на кой хрен мне покупать сертификат, от которого у вас приватный ключ есть) ?

[Վիտալի Լագունով]

Влад Животнев: а если у меня есть сертификат от google.com или от крупного банка какого-нибудь? Вам может быть и не надо… Вопрос в том, законно или нет (с учётом того, что после продажи будет осуществляться незаконная деятельность), я не спрашивал, насколько это целесообразно.

В любом случае, когда сертификат с приватным ключом в открытую выкладываются в сеть, можно считать никакого https и нету (для этого домена). Очень странно. Конечно, кто не понял, это вопрос-шутка, но всё-равно, всё выглядит очень странно.

[Վիտալի Լագունով]

Влад Животнев: «на кой хрен мне покупать сертификат, от которого у вас приватный ключ есть» — имеется ввиду сертификат от чужого домена. Или Вы можете сами сгенерировать приватный ключ и сертификат для чужого домена, который будет подтверждён авторитетным СА?

[Влад Животнев]

vitaliy2:
> а если у меня есть сертификат от google.com или от крупного банка какого-нибудь
Если продадите и его потом используют для кражи денег или данных - то статья.

Вообще я думал, что вы собираетесь продать сертификат новому владельцу домена - так можно, но бессмысленно (с т.з. владельца). Продавать сертификаты на чужие домены не владельцам этих доменов - обычно чревато статьёй и сроком в зависимости от государства.

Answer 5

[Hostwell]

ничего не будет. Будет SSl без домена