我在我的DMZ中终止SSL / TLS,我不得不假设机器会被黑客入侵.
此时我的证书被泄露了.
此时我的证书被泄露了.
以前我使用过nCipher硬件密钥库/加速器来解决这个问题.即使是root,这些卡也不会显示私钥.该卡在板上执行加密和解密,并且可以抵御物理攻击.获得钥匙的唯一方法是将智能卡读卡器连接到卡本身.
我无法找到有关某些内容的信息来重新创建这种方法.
这些天是专业交换机和防火墙的领域吗？
这个旧页面引用了一些旧的硬件：
http://www.kegel.com/ssl/hw.html#cards
解决方法
如果您选择了SSL实施,那么它将限制您选择的硬件.
支持正式发布的长期支持的硬件,原样.
支持正式发布的长期支持的硬件,原样.
在使用防篡改硬件来保护您的钥匙之前,
值得考虑一些其他问题：
被盗证书仅在DNS被劫持时才有用.
(SSL使用Diffie-Hellman来防止被动攻击,所以小偷
需要成为一个活跃的中间人,冒充你.)
SSL仅与其信任的最弱CA(证书颁发机构)一样安全.
浏览器有2个主要CA(Comodo,DigiNotar)在过去2年中公开妥协.
如果可能(显然不是在Web商务中),请在没有CA的情况下安装证书.
为证书申请最短的实际到期时间.
闯入您的SSL终结者的人不需要您的证书来造成重大伤害.他可以隐藏在那里,漏斗并过滤流量(例如,使用信用卡号码),并使用隐写术来检测不到结果.
商业加密硬件具有可怕的安全记录.存在定时攻击,故障注入(电压,辐射)攻击和传统错误.它们是封闭的,营利性的产品;他们有很强的隐藏缺陷的动机 – 正如在RSA SecureID案件中所揭示的那样.
