是否需要为每个嵌入式设备拥有单独的服务器 SSL 证书？答案

【问题标题】：does it required to have individual server SSL certificate for each embedded device?是否需要为每个嵌入式设备拥有单独的服务器 SSL 证书？
【发布时间】：2013-05-16 15:52:00
【问题描述】：

我有一个运行 Web 服务器的嵌入式设备。我需要为 Web 服务器集成服务器 SSL 证书。如果我有多个这样的盒子，是否需要为每个盒子设置不同的 SSL？

【问题讨论】：

标签： security ssl embedded browser certificate

【解决方案1】：

您可以为*.mydevices.mydomain.com 购买通配符证书，然后为每个设备指定一个名称，例如myRouter1.mydevices.mydomain.com，仅此而已。证书颁发机构确实出售通配符证书，但它们更贵（但如果你有很多设备，这会更便宜）。

但您需要考虑一件事 - 如果证书的私钥以任何方式从设备中泄露（例如，设备完全被盗），您可以撤销证书。但是，如果您在所有设备上共享一个证书，那么泄漏将使所有设备同时失效，您将不得不替换所有设备上不再有效的证书。

【讨论】：

能否为每台设备生成私钥并使用通配符 SSL 证书，让每台设备都有一个唯一的私钥，就好像它有单独的证书一样？
@crusader 不同的密钥意味着不同的证书。您需要在两个相互矛盾的方面找到平衡：易于管理和安全。安全需要许多证书和密钥。易于管理需要尽可能少的证书。你选择:)。
我遇到过 sslshopper.com，它声明了以下行 ..“但是，一些证书提供商允许您根据需要为所有你的服务器，每个都有一个唯一的私钥”这不是我一直在寻找的吗？
@crusader 这是可能的，但你会得到什么？您仍然需要管理许多证书。

【解决方案2】：

当然，你会得到一个“视情况而定”：

如果您的用户需要 CA 签名的证书，那么您必须为每个盒子付费并以某种方式加载它。浏览器就不会抱怨了……
如果您的用户允许使用自签名证书，那么您可以让该框在委托时生成一个。但是，您用户的浏览器会抱怨...
如果您使用相同的证书，那么这对您来说是一个安全问题。

我将建立一种机制，以便用户可以将证书加载到字段中的框中。然后你可以满足任何需要。

【讨论】：

谢谢你，daveoman。我只是这么想。这证实了我的想法。
还有一个关于SSL的问题，请确认我的想法。盒子需要任何证书存储吗？我不认为它是必需的，因为服务器的生命周期只有一个证书。另一方面，客户端（有时必须是，并且在其生命周期内访问单个网站）是否需要证书存储？再次不！，因为它只需要访问一个网站。
有人投了反对票，我打算投赞成票，但后来。上传证书有什么帮助？您只能以“安全模式”上传，例如串行端口。然后每个联系服务器的客户端浏览器都需要异常。这个解决方案将责任推给了用户，但它似乎也可能不安全，具体取决于它是如何实现的。当然，您不希望任何人随时上传新证书。
是的，我们的想法是以某种方式在本地加载证书。这就是我所说的“委托”……在它被永久连接之前。绝对不想在任何时候允许上传。至于推卸责任，如果这是产品的一个选项，那么我认为这很好。您在浏览时关闭了多少次证书提示？