在多个服务上使用相同的X.509服务证书？

Question

我有一个应用程序公开多个WCF服务（每个不同的客户端应用程序不同的门面）。现在我正在为每个服务管理一个独特的证书（从我们的内部证书服务器创建）（并且我为多个环境执行此操作，例如dev，qa，staging，prod）。

MSDN似乎暗示此证书不仅用于加密通信，还用于“验证服务到客户端”，建议应使用不同的证书，以便一个服务与另一个服务相区分，即使在同一台服务器上也是如此。但是，我觉得我可以“欺骗”并在所有服务上使用相同的证书（至少在每个环境中） - 本质上是应用程序级证书。它仍然可以确保服务来自正确的应用程序。

那么这个“欺骗”有多少？我是否将规则弯曲得太远了？很显然，这是我的应用程序和我的服务，所以我可以自由地做我想做的事 - 但我想避免在线以外着色太多。

Answer 1

如果您未使用证书进行客户端证书身份验证或数字签名/验证，并且仅在服务器端使用SSL加密证书，则可以使用相同的证书。

客户将较少的证书'信任'在他们各自的信任库/证书库中。但是，如果您的安全要求只需要服务器端SSL以上的服务器端SSL，那么最好使用不同的证书，以便服务器不能互相模拟。

我建议拥有一个生产证书和另一个可以共享您的测试，qa和dev环境的证书。您也可以为非prod服务器使用自签名证书。