问客户端证书中设置的额外EKU是否存在安全风险？
EN

Security用户

提问于 2018-06-04 08:13:21

回答 1查看 134关注 0票数 2

我已经实现了一个2层的Windows AD CS .对于802.1x，我使用自动注册将计算机证书自动分发到任何已加入计算机的域。

目前，对于所有计算机，无论是服务器还是工作站，我都使用单一的计算机模板。此模板包括客户端身份验证、服务器身份验证和远程桌面身份验证EKU。

对于工作站，只需要客户端身份验证，但是在证书中设置额外的EKU是安全问题吗？

(默认情况下，不存在将服务器与工作站分开的组，因此不能将不同的自动注册证书模板分配给服务器和工作站。可以放弃一个服务器组并将服务器添加到这个组中，但这会增加额外的手动操作。)

发布于 2018-06-04 08:37:48

这取决于你的安全策略。如果您的策略需要为每个应用程序/服务提供一个单独的证书，那么它就是坏的。如果您的安全策略允许为多个应用程序/服务(如果适用)使用单个证书，则可以。

没有普遍的办法，每一种方法各有其优缺点。例如，当每个应用程序需要单独的证书时，您会增加管理工作(因为您必须维护多个证书)，但是减少了耦合。单一证书的失败只影响单个服务，其他服务不受影响。

当您在多个应用程序中重用单个证书时，可以减少管理工作(因为每个设备只能维护单个证书)。另一方面，证书的失败将影响与证书关联的所有应用程序。

票数 1

页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://security.stackexchange.com/questions/187066

复制

相似问题

问客户端证书中设置的额外EKU是否存在安全风险？EN