Насколько безопасно выкладывать JKS с сертификатом без пароля?

Question

[Saboteur]

Используются .jks хранилище для сертификатов, используется пароль для валидации.
Не очень понимаю, как сформулировать вопрос, но наверное как-то так

1. Пароль для сертификата используется только для валидации, или приватный ключ в .jks шифруется этим паролем?

2. Насколько безопасно в .git выкладывать сам Java Keystore файл, если пароль к нему не выкладывается?

Пишу простую проверку на expiration date, но не могу понять опасно ли продакшн сертификаты класть на общедоступный CI сервер

Answer 1

[aol-nnov]

а у меня встречный вопрос: что делают продакшн сертификаты в CI?!
не следует ли в CI и тестинге использовать другие сертификаты, отличные от прода?

Есть масса кулсторибро. Одна из последних: тестинг пиццерии додопицца подключился к боевому процессингу яндекса и сделал откат платежей на какие-то миллионы. (искать на каком-то хабре или гт)

//jks шифруется паролем от него: https://stackoverflow.com/a/174135 metastatic.org/source/JKS.html

Comments

[Saboteur]

1. Видимо невнимательно дочитали вопрос.
Продакшен сертификаты там ничего не делают. Я же написал - хочу автоматизировать проверку сертификатов на срок годности, для чего было бы удобно положить где-то в место, доступное для CI, но это будет уже доступно для многих. В связи с чем и интересуюсь, насколько это безпасно.
Делать автоматизацию прямо на продакшн сервере неудобно.
Создавать отдельную защищенную виртуалку, доступную только для меня - тоже неудобно.

2. По вашей ссылке как раз написано, что
The size of the encoded key as a four-byte int, then that number of bytes. The encoded key is the DER encoded bytes of the EncryptedPrivateKeyInfo structure (the encryption algorithm is discussed later).

И в описании алгоритма есть такое, как
Compute K[1] ... K[n], where |K[i]| = 20, n = ceil(|ekey| / 20), and K[i] = SHA-1(UTF-16BE(password) + K[i-1]).

То есть приватный ключ в сертификате все-таки как-то шифруется паролем?

[aol-nnov]

Saboteur, каюсь, спешил-с :)
да, он шифруется паролем. https://stackoverflow.com/a/174135

по остальным пунктам моё мнение не изменилось :) этим должен заниматься не публичный сиай, а приватный мониторинг, имхо.

[Saboteur]

aol-nnov, к приватному мониторингу тоже будет иметь доступ как минимум админ виртуалок.. поэтому и интересуюсь.. А на продакшн write доступа нет, поэтому надо искать выход...

Ссылка на стековерфлоу полезна - скиньте ее в ответ, помечу =)