Как правильно настроить соединение с банком по SSL?

Question

[Максим Сандаков]

Я прошу прощения за такой простой вопрос, но раньше почти не сталкивался с применением SSL сертификатов и теперь есть некоторые вопросы.
На apache вертятся php скрипты по взаимодействию между банком и биллингом, как оказалось раньше осуществлялось небезопасным образом, сейчас необходимо настроить SSL.
Что есть:
- сгенерировал rsa ключ
- сформировал CSR запрос и отправил в банк для создания сертификата
- получил сертификат и вместе с ключом прописал в конфигурационном файле ресурса
Однако при попытке установления соединения со стороны банка они получают ошибку 14094410.
В чем может заключаться ошибка при конфигурации? Нужно ли мне у банка запросить файл сертификата центра сертификации чтобы прописать его в SSLCACertificateFile?

Answer 1

[Алексей Сундуков]

Получить сертификат можно и без банка. Более того, если вы работайте с API банка (отправляете им запросы), то вам ни какие сертификаты не нужны. Если банк шлет запросы в вашу систему по API, то просто купите сертификат у любого известного центра либо воспользуйтесь Let's Encrypt для получения бесплатного.

Если банк для работы требует использовать только их сертификаты, то они так же должны предоставить инструкцию по получения, установке и настройке (предоставляя в том числе свои сертификаты для построения цепочки).

Comments

[Максим Сандаков]

Спасибо, Алексей, за ответ.
Сертификат от банка это не столько требование, сколько производственная необходимость. Let's Encrypt не могу считать надежным решением для подобного взаимодействия, а покупка стороннего сертификата встречает сопротивление со стороны руководства.
По этой причине пытаюсь вникнуть в суть самой работы SSL, чтобы понять а что необходимо для работы и где может возникать проблема. Может подскажете, раз банк в данном случае не является известным центром сертификации данные о которых есть в openssl, то для его удостоверения необходим сертификат CA?

[Алексей Сундуков]

Let's Encrypt не могу считать надежным решением для подобного взаимодействия

Почему? Если вы приватный ключ в третьи руки не отдали, то может быть даже надежнее, чем используемое в самом банке. Т.к. есть например предписания от ФСБ по поводу максимальной длинный ключа которую допустимо использовать. Но утеря приватного ключа как угроза безопасности работает с любым провайдером выдавшим сертификат.

Если руководство жмотит покупку нормального сертификата, то Let's Encrypt это отличный выход.

Для удостоверения банка (при запросах к нему) с него нужен публичный сертификат (цепочка) который содержит сертификат CA установленного в системе. Собственно все популярные центры сертификации используют эти CA (Let's Encrypt в том числе).

[Максим Сандаков]

Алексей Сундуков, в данном случае банк обращается к нашему ресурсу

[Алексей Сундуков]

Максим Сандаков, Let's Encrypt хватит. По сравнению с покупным сертификатом он создает неудобство только с необходимостью его перевыпускать каждых 3 месяца. В остальном ни сколько не хуже.
Результат проверки с одного из серверов с Let's Encrypt wildcard сертификатом: