certificato come sviluppatore vs certificato acquistato per WCF

Question

I understsand che se voglio utilizzare l'autenticazione in WCF poi ho bisogno di installare un certificato sul mio server che WCF utilizzerà per crittografare i dati che passa tra il mio server e client.

Per gli scopi di sviluppo Credo di poter utilizzare l'util Makecert.exe. per fare un certificato di sviluppo.

Qual è il peggiore che può succedere se uso questo certificato per l'ambiente di produzione?

e ...

Perché non posso io uso questo certificato per l'ambiente di produzione?

e ...

Qual è il certificato in realtà intenzione di fare in questo scenario?

[Modifica: aggiunta un'altra domanda]

finalmente ...

In uno scenario in cui il sito ha un certificato installato per fornire il supporto HTTPS può lo stesso certificato da utilizzare per i servizi WCF così?

Nota relativa alla mia domanda: E 'un servizio di client e server NetTCP. Gli utenti potranno accedere utilizzando lo stesso nome utente e la password che usano per il sito web che è passato in chiaro. Sarei felice di passare il u / n + p / w in chiaro per WCF, ma questo non è consentito dal quadro e di un certificato deve essere a posto. Tuttavia, non voglio comprare un certificato a causa di vincoli di bilancio!

(Scusate per la domanda forse stupida ma ho davvero non capisco questo modo sarebbe benvenuto un certo aiuto con questo).

Answer 1

Bene, niente di grave accadrà se si utilizza un certificato per sviluppatori in ambiente di produzione, dopo tutto, un certificato è un certificato e la crittografia che fornisce è la stessa di qualsiasi certificato commerciale.

Tuttavia, poiché il certificato non è firmato da un'autorità di certificazione attendibile, non garantisce al cliente che voi è che si . Mi permetta di mettere questo in un altro modo:. Se il servizio fosse una semplice pagina web browser direbbe il certificato non è valido

Un certificato SSL per fornire in un server web, è un certificato che indica al client che il dominio è un dominio trusted e verificato, e che l'autorità di certificazione può garantire per esso.

Quindi, un certificato realizzato da makecert.exe sarebbe così come voi a scrivere il proprio nome in un pezzo di carta e di raccontare, dire che un ufficiale della legge, che la patente di questo vostro driver.

Answer 2

1. Un certificato deve essere rilasciato da un'autorità di certificazione cosiddetta per essere attendibile. Appartamenti firmato i certificati (creati dal MakeCert ecc) non sono affidabili, e tutti coloro che navigherai al tuo sito web riceveranno un 'certificato non valido' (più specifico: 'Il certificato non è attendibile in quanto auto-firmato') avvertimento. Così, peggiore , la gente non andare al tuo sito, perché non si fidano di esso.

2. È possibile utilizzare il certificato firmato di auto in produzione, ma non è consigliabile per i motivi sopra esposti.

3. Il certificato viene utilizzato per stabilire una connessione sicura (HTTPS) tra il client e il server. Accanto a questo, ha lo scopo di verificare l'identità del server. L'identità del server non può essere garantita se il certificato è autofirmato.

4. In IIS, se si installa un certificato in un sito web, tutti i servizi WCF dispiegati in quel sito web sono in grado di utilizzare il certificato.

In breve, utilizzare un certificato auto-firmato per lo sviluppo (guardare in uno strumento chiamato Diagnostica SSL per facilitare la generazione di certificato in IIS), ma in realtà si avvalgono di un certificato di produzione per la produzione!

Answer 3

"Qual è la cosa peggiore che può accadere se uso questo certificato per l'ambiente di produzione" Sicurezza avrà esito negativo, in mancanza l'intero servizio.

"Perché posso io uso questo certificato per l'ambiente di produzione?"
L'autorità di certificazione specificato nel certificato generato non è conosciuto dai clienti, da cui il certificato non può essere convalidato / usato.

"Qual è il certificato in realtà intenzione di fare in questo scenario?" La chiave pubblica viene utilizzata dai client per crittografare la comunicazione. Ciò Garantiamo che solo il proprietario della chiave privata (il server in questo caso) può decifrare nuovamente (coppie di chiavi private-pubbliche sono la crittografia asimmetrica)

Spero che questo aiuti,