자체 서명 된 인증서 VS https를 통한 REST API의 CA 인증서

Question

HTTPS에서만 REST API 서비스 만 실행하는 서버가 있다고 가정 해 보겠습니다. API의 유일한 소비자는 모바일 앱입니다. CA의 인증서가 필요하거나 자체 서명 된 인증서로 충분합니까?

Answer 1

당신은 할 수 있습니다

• 는 자체 서명 된 인증서를 유지하지만 인증서를 고정해야하고, 개인 키가 손상되면 당신이 그것을 취소 할 수 없습니다.
• 집에서 만든 인증 기관을 사용하지만 인증서를 고정하고 해지 프로세스를 관리해야합니다 (OCSP 또는 CRL 유지 관리).
• 신뢰할 수있는 CA의 인증서를 사용하면 해지가 확인되며 추가 보안을 원하면 인증서를 고정 할 수 있습니다.

제 생각에는 신뢰할 수있는 CA를 사용하는 것이 더 안전하고 간단합니다.

Answer 2

CA 인증서를 사용해야합니다. 그렇지 않으면 각 모바일 클라이언트가 인증서를 신뢰할 수있는 인증서로 수동 설정해야합니다.

모바일 앱 자체에 인증서를 신뢰할 수있는 것으로 포함시킬 수 있지만 (앱 배포를 전제로 함) 인증서를 갱신하거나 문제를 해결하기 위해 인증서를 다시 키거나 바꿀 때 문제가됩니다.

전 세계적으로 신뢰할 수있는 인증서를 사용하는 것이 좋습니다.