Sanity Check - Должны ли мои публичные AMI для EC2 генерировать новые сертификаты SSL Apache при первой загрузке?

Question

Я хочу предложить готовые к развертыванию Public Ubuntu Lucid AMI на Amazon Web Services EC2. Поскольку эти AMI используют веб-приложения с открытым исходным кодом, я хочу предварительно настроить apache mod_ssl и заставить весь трафик по https. Это достаточно легко.

Меня интересует проверка здравомыслия: насколько неуверенным было бы развертывание без первого сценария запуска, который генерирует новые файлы CSR и server.key/server.crt? (т. е. любой, кто обращается к AMI, получит экземпляр server.key, используемый кем-либо другим, запускающим экземпляр, запущенный из этого AMI?

Я еще не видел, чтобы публичные ОИМ из авторитетных сообществ/корпоративных компаний предлагали AMI в этом manner- на самом деле большинство предлагает их без mod_ssl на Всероссийском оставляя что до системного администратора.

-Джки Мурдж

Answer 1

Я определенно генерировать уникальный ключ на первичном запуске публичного экземпляра. Люди слишком вероятно, будут ленивы и просто использовать любой сертификат, который вы им предоставляете. Поскольку все они имеют один и тот же сертификат (и закрытый ключ), это означает, что любой из них может выдавать себя за другой экземпляр e-AMI. Это также означает, что любой из них может MITM или расшифровать веб-трафик, отправленный в любой из других экземпляров или из них.

В общем, вы должны всегда генерировать свежие криптографические материалы для каждого первоначального запуска публичного AMI.