Eredeti poszt:
http://hup.hu/node/150166#comment-2032748
Gondoltam bedobom blog-ba, hátha több ember olvassa.
---------------------
Van CSR boncoló / alapozó (megosztható publikusan) leírásod/prezentációja bárkinek aki olvassa ezt?
Megmagyarázom.
Legfrisebb élmény, h. 1 aplliance-en generáltattam CSR-t. A kimenetet elküldtem aláírásra egy privát CA üzemeltetőjének. Az a válasz jött vissza, h. ők már nem engedélyezik az SHA1 használatát, csak az SHA256-ot. Az én CSR-em meg SHA1-et tartalmaz, legyek szíves újat generálni, de mostmár SHA256-al. Elkezdtem vakarni a fejem, h. ez az egész aktuális SHA1-->SHA256 átállás mizéria az IT világban miről is szól pontosan? Egy CSR-be mi is kerül bele pontosan? Ezek közül a CA miket is ellenőriz le, miket változtathat meg kénye szerint mielőtt aláírná? Pl. a CA saját jogkörben határozza meg legjobb tudomásom szerint, h. a cert-ben az aláírást milyen algoritmussal hash-eli (alias "signature hash algorithm"). Azaz ha a CA-ban a kiindulási feltételezés szerint az SHA256 van beállítva, akkor az én CSR-em lehet bármilyen, csakis 1 féle válaszfájlt (valójában a válaszfájl A nagybetűs tanúsítvány maga) adhat rá a CA: SHA256 "signature-hashed"-et. Az viszont igaz, h. a CSR-t openssl-el analizálva SHA1 szerepel signature hash algoritmus helyen. De ez almát-körtével összahasonlítás esete: az az SHA1-es hash csak a CSR hitelesítésére szolgál a CA felé, h. út közben nem manipulálta senki a CSR-t. Az IT ipar SHA256-ra történő migrációs mozgalmának célja a VÉGLEGES aláírt tanúsítvány Signature hash algoritmusát akarja SHA256-ra tenni, nem a köztes CSR fájlt!