프로덕션에서 자체 서명 된 인증서

Question

우리는 SSL을 통해 보안하려는 로그인 화면이 포함 된 GlassFish에 Java EE 프로젝트를 가지고 있습니다.

프로덕션 환경에서 CA에서 서명 한 인증서 대신 자체 생성 인증서를 사용하면 어떤 단점이 있습니까? 그것은 최종 사용자에게 경고와 나쁜 경험을 줄 것입니까?

Answer 1

예, 로그인 사이트를 탐색하는 사용자는 매번 브라우저에서 인증서 경고를받습니다.

응용 프로그램이 폐쇄 된 사용자 그룹에서만 사용되는 경우 (회사 내에서 가정 해 봅시다) 각 사용자의 신뢰할 수있는 인증서 집합에 자체 서명 된 인증서를 추가하여이를 완화 할 수 있습니다 (브라우저 또는 OS 레벨은 특정 상황에 따라 다릅니다).

그러나 응용 프로그램이 대대적으로 공개되는 경우 자체 서명 된 인증서를 사용하는 것은 좋지 않은 것으로 간주됩니다. 기본적으로 사용자에게 중간자 공격에 대한 최후 방어선 인 브라우저 경고를 무시하고 수락하도록 교육하고 있습니다. 그것은 분명히 원하는 것이 아니기 때문에 스테이징/테스트 배포 인 경우에도 항상 "실제"인증서를 사용해야합니다.