SSL - サーバ証明書が特定のマシンにバインドされていますか？

Question

最近、tomcatを使用してサーバーを作成し、この小さなサーバーにSSLサポートを追加しました。 SSLをサポートするには、Entrust、Thawteなどの3番目の発行者が発行した証明書が必要です。

証明書は特定のマシンにバインドされています。一度発行された証明書を取得したら、この証明書を別のマシンで使用することはできません。

CSRにはマシンの情報が含まれていないため、これは完全に疑わしいです。本当？

ありがとうございます。

Answer 1

証明書は必ずしも特定のマシンにバインドされているわけではありません。マシン上で「証明書を使用する」には、証明書自体と秘密鍵の2つが必要です。 CSRと一緒に秘密鍵を生成する必要があります（使用したツールによって異なります）。

一部のシステムでは、秘密鍵を再抽出することはできません（Windowsは秘密鍵をエクスポートできないようにインポートするオプションがありますが、わかっている限り、これはバイパスできます）。そのマシンに十分なアクセス権がある場合）。スマートカードまたはハードウェアトークンを使用している場合は、秘密鍵が抽出できないように秘密鍵が生成されます（この場合、トークンを新しいマシンに移動することは必要に応じて有効です） 。

その他の部分は証明書とその名前です。証明書のホスト名（CSRにもよく見られるが、それは最終的には必要ではない）は、接続しようとするクライアントが見るように、このマシンのホスト名でなければならないHTTPSのホスト名検証の詳細は、RFC 2818セクション3.1を参照してください）。そのため、証明書自体はハードウェアの観点から特定のマシンに結びついていませんが、このホスト名（このマシンのハードウェアやそのIPアドレスなど）を変更することができます。