Самоподписанные сертификаты весенней загрузки

Question

Я пытаюсь запустить сервер Spring-Boot, который обеспечивает некоторую безопасность через SSL. Я выполнил шаги 1 и 2 из this guide, чтобы получить самозаверяющий сертификат, и я могу получить доступ к моему сайту через https. application.properties выглядит следующим образом:

server.port=8443 
server.ssl.keyStore=classpath:keystore.p12 
server.ssl.keyStorePassword=youd_want_to_know 
server.ssl.keyStoreType=PKCS12 
server.ssl.keyAlias=hs 

keystore.p12 был сгенерирован с

$ keytool -genkey -alias hs -storetype PKCS12 \ 
-keyalg RSA -keysize 2048 -keystore keystore.p12 -validity 3650 

пароля Я не вступал ничего, кроме, все поля "Unknown".

Однако блокировка в браузере не зеленая. Подробное сообщение указано

Имеются проблемы с цепочкой сертификатов сайта (net :: ERR_CERT_AUTHORITY_INVALID).

Плюс сторона:

Безопасное соединение TLS
Подключение к этому сайту использует сильную версию протокола и шифров.
Защищенные ресурсы
Все ресурсы на этой странице защищены.

Я предполагаю, что в простом тексте это означает, что данные переносятся безопасно, но браузер не полностью доволен сертификатом, поскольку он не может отслеживать подлинность. Поэтому я понимаю, что это недопустимо для производства (и пока это не обязательно).

Но, это безопасно и безопасно для меня, так как я владею сервером и знаю, что сам создал самозаверяющий сертификат? Или есть способы превратить это в сертификат, которым пользуется браузер? Что мне нужно сделать, чтобы выполнить эту работу и как будет выглядеть конфигурация Sprint-Boot?

Answer 1

В ореховой скорлупе Использование собственного сертификата совершенно небезопасно, если

1. вы контролировать каждую машину между вами и сервером ИЛИ
2. вы проверить что ключи в сертификате - это то, что вы ожидаете от них .

Только преимущество:; он блокирует пассивные атаки (злоумышленник наблюдает за данными, но не изменяет его каким-либо образом) независимо от того, был ли сертификат ЦС выпущен центральным ЦС или нет.

Посмотрите здесь https://security.stackexchange.com/a/8112

Answer 2

То, как должен себя вести браузер. До тех пор, пока вы (или, скорее, браузеры, которыми вы или ваша организация владеете), являются единственными пользователями вашего сайта, вы в порядке. Но как только вы захотите на борту других потребителей, вам может потребоваться получить сертификат, подписанный поставщиком сертификатов

Answer 3

В этом случае связь между браузером и сервером по-прежнему уязвима для атаки «человек в середине», поэтому это на самом деле не «безопасный & безопасный»