Какое ПО применяется для генерации ssl сертификата?

Question

[IOV]

Интересует ОП для развёртывания PKI. Не openssl, полагаю крупные УЦ (Certification Authorities) явно его не используют.
И что вообще может потребоваться для развёртывания? Какие требования к серверам и их характеристикам? Возможно кто-то изучал или работает в этой сфере.

Заранее благодарю за любую информацию!

Comments

[nirvimel]

Почему вы считаете, что крупные CA не могут использовать OpenSSL или какой-нибудь его форк, заточенный для собственных нужд?

[IOV]

nirvimel: я не считаю так, а предполагаю. Многие CA существовали ещё до первого релиза OpenSSL, и не могли его использовать.

Про OpenSSL достаточно много информации, но мне не удалось найти никакой информации о других системах для развёртывания PKI.

[nirvimel]

Яр: Предполагаю, что крупные CA используют собственные форки OpenSSL, прошедшие аудит безопасности, обрезанные от всех фрагментов, не прошедших аудит, и дополненные каким-то собственным функционалом.

[KeyDoo]

Что-то мне тоже кажется, что у вас какие-то возвышенные предположения о софте УЦ. Ничего даже близкого к openssl нет, поэтому это или openssl или какая-то "in house" разработка, о которой вы никакой инфы не получите.

Answer 1

[Николай Корабельников]

Для промышленного использования посоветую OpenTrust PKI или neXus Certificate Manger. Для личного использования или для небольших инсталляций можете посмотреть retrust.me.
При выборе PKI есть ряд нюансов. Например: какие сертификаты вы планируете выпускать, какая схема выпуска (централизованная, децентрализованная), нужна ли поддержка SCEP, нужен ли OCSP, требуется ли выпускать сертификаты в соответствии с ГОСТ, планируется ли архивирование ключей шифрования и пр.
Технически развертывание не такое сложное. Важно продумать варианты использования PKI, архитектуру, разработать политики и регламенты, назначить "хранителей ключей", провести key ceremony...
Требования к железу зависят от софта. Но в общем случае вам может понадобится:
- offline CA либо в виде сервера либо в виде флэшки (нескольких флэшек)
- online CA - виртуалка или отдельный сервер
- HSM - для защиты ключей
Банально, но упомяну, что для всего нужно иметь резерв по оборудованию.

И да, я работаю в этой сфере.