Mi a teendő, ha kiszivárgott a privát kulcs?

Az SSL tanúsítvány biztonsága a privát kulcson múlik. Aki a kulcs birtokába jut, a tanúsítvány lejártáig az Ön weboldalának adhatja ki magát, és bizonyos esetekben a forgalmat is visszafejtheti. Ha a kulcs kiszivárgott (vagy erre gyanú van), gyorsan kell cselekedni.

Mikor számít kiszivárgottnak a kulcs?

• Elküldte e-mailben, chaten vagy egy hibajegyben.
• Felkerült egy nyilvános vagy megosztott helyre, például egy Git-tárolóba, egy felhőtárhelyre vagy egy fórumra.
• A szervert, amelyen a kulcs volt, feltörték.
• Egy volt munkatárs vagy külső fejlesztő hozzáfért, és nem biztos benne, hogy nem őrizte meg.
• A kulcsot tartalmazó eszköz (laptop, mentés) elveszett.

A teendők sorrendben

1. Készítsen új privát kulcsot

A régi kulcsot többé ne használja. Készítsen új kulcsot és CSR-t azon a szerveren, ahol a tanúsítványt használni fogja, lásd: CSR és privát kulcs létrehozása. Ne a régi kulcsból készítsen új CSR-t, mert így az új tanúsítvány is a kiszivárgott kulcshoz tartozna.

2. Állítsa ki újra a tanúsítványt az új kulccsal

• Fizetős tanúsítványnál az Ügyfélportálon a tanúsítvány oldalán a Reissue gombbal kérjen újrakiállítást az új CSR-rel. Ez az előfizetés idején belül díjmentes. Lásd: Fizetős SSL tanúsítvány beállítása és újrakiállítása.
• Ingyenes tanúsítványnál a cPanel tárhelyen írjon ügyfélszolgálatunknak: a régi tanúsítványt eltávolítjuk, és az AutoSSL új kulccsal igényel újat.

• Saját szerveren, Let’s Encrypt tanúsítványnál kérjen új tanúsítványt új kulccsal:

  certbot certonly --cert-name pelda.hu --force-renewal --new-key -d pelda.hu -d www.pelda.hu
  

3. Telepítse az új tanúsítványt

Telepítse az új tanúsítványt és kulcsot mindenhová, ahol a régit használta: webszerver, levelezőszerver, terheléselosztó, CDN. A régi kulcsfájlt törölje a szerverekről és a mentésekből.

4. Vonassa vissza a régi tanúsítványt

A visszavonás (revocation) jelzi a böngészőknek, hogy a régi tanúsítványban már nem szabad megbízni.

• Fizetős tanúsítványnál írjon ügyfélszolgálatunknak, és a régi tanúsítványt a tanúsítványkiadónál visszavonatjuk. Jelezze, hogy a kulcs kiszivárgott.

• Let’s Encrypt tanúsítványnál saját szerveren:

  certbot revoke --cert-path /etc/letsencrypt/live/pelda.hu/cert.pem --reason keycompromise
  

A visszavonást csak az új tanúsítvány telepítése után kérje, különben a weboldal addig tanúsítványhibát jelez.

5. Derítse ki, hogyan szivárgott ki

Ha a kulcs egy feltört szerverről szivárgott ki, a tanúsítvány cseréje csak az egyik teendő. Változtassa meg a szerver és az alkalmazások jelszavait, és vizsgálja át a rendszert. Ha a kulcs Git-tárolóba került, a fájl törlése nem elég, mert a korábbi változatokban is megmarad. A kulcsot mindenképp tekintse kiszivárgottnak.

Miért nem elég csak a visszavonás?

A böngészők a visszavonási listákat nem minden esetben ellenőrzik, ezért egy visszavont tanúsítvány egyes eszközökön akár a lejáratáig is elfogadott maradhat. A kiszivárgott kulcs okozta kockázatot ezért a rövid élettartam csökkenti a leghatékonyabban. Ez az egyik oka annak, hogy a tanúsítványok érvényessége egyre rövidebb, lásd: Miért nem érvényesek már egy évig az SSL tanúsítványok?

Megelőzés

• A privát kulcsot ott hozza létre, ahol használni fogja, és ne mozgassa feleslegesen.
• Soha ne küldje el senkinek, ügyfélszolgálatunknak sem. Mi sosem kérjük el.
• A kulcsfájl jogosultsága legyen szigorú (chmod 600), és ne kerüljön Git-tárolóba (vegye fel a .gitignore fájlba).
• Minden újrakiállításnál használjon új kulcsot.
• Ha lehet, használjon automatikus megújítást: a cPanel tárhelyen az AutoSSL vagy a fizetős tanúsítvány Autoinstall módja a kulcsot kézi kezelés nélkül hozza létre és telepíti.