我应该在通过电子邮件发送 SSL 证书请求之前对其进行加密吗？

Question

我需要向客户端发送 SSL 证书请求（来自 IIS 6.0）

他们要求仅使用 Winzip 之类的应用程序加密发送它。

我的问题是。这实际上是一个问题吗？

我对证书的基本理解是，请求不包含任何有助于黑客获取最终证书的信息。

我完全错了吗？

Answer 1

CSR 仅包含公钥以及有关证书的一些额外信息。里面真的没有什么秘密。

问题是完整性保护：他们如何确定他们签署了正确的 CSR，并且它在传输过程中没有被篡改。对于中间人来说，将您的 CSR 替换为 MITM 可以控制密钥的 CSR 并不难。

因此，必须以某种方式对 CSR 的传输进行完整性保护。加密容器格式是提供完整性保护以及（加密）散列函数或数字签名的一种方式。