उत्पादन में स्वयं हस्ताक्षरित प्रमाण पत्र

Question

हमारे पास ग्लासफ़िश पर एक जावा ईई प्रोजेक्ट है जिसमें एक लॉगिन स्क्रीन है जिसे हम SSL के माध्यम से सुरक्षित करना चाहते हैं।

उत्पादन में सीए से हस्ताक्षरित एक के बजाय स्वयं उत्पन्न प्रमाण पत्र का उपयोग करने का क्या नुकसान है? क्या यह अंतिम उपयोगकर्ता को चेतावनी और बुरा अनुभव देगा?

Answer 1

हां, लॉगिन साइट ब्राउज़ करने वाले उपयोगकर्ता को हर बार अपने ब्राउज़र में प्रमाणपत्र चेतावनी मिल जाएगी।

यदि एप्लिकेशन का उपयोग केवल बंद उपयोगकर्ता समूह (चलो एक कंपनी के भीतर कहें) के भीतर किया जाएगा, तो आप प्रत्येक उपयोगकर्ता के विश्वसनीय प्रमाणपत्रों के सेट पर स्वयं हस्ताक्षरित प्रमाणपत्र जोड़कर इसे कम कर सकते हैं (या तो ब्राउज़र में या ओएस स्तर, विशेष स्थिति पर निर्भर करता है)।

लेकिन यदि आपका आवेदन आम तौर पर विशाल जनता के लिए खुला है, तो इसे स्व-हस्ताक्षरित प्रमाणपत्रों का उपयोग करने के लिए बुरा अभ्यास माना जाता है। आप मूल रूप से ब्राउज़र उपयोगकर्ताओं को अनदेखा करने और स्वीकार करने के लिए अपने उपयोगकर्ताओं को शिक्षित कर रहे हैं, जो आम तौर पर मैन-इन-द-बीच हमलों के खिलाफ रक्षा की अंतिम पंक्ति है। यह स्पष्ट रूप से नहीं है कि आप क्या चाहते हैं, इसलिए उस स्थिति में आपको हमेशा "वास्तविक" प्रमाण पत्र का उपयोग करना चाहिए, भले ही यह केवल एक स्टेजिंग/टेस्ट परिनियोजन हो।