导入 SSL 证书后，我应该删除 .pfx 或 .cer 文件吗？

Question

提供后，我必须使用 .pfx 或 .cer 导入 Windows Server (2008 R2) 上的 IIS 以准备好使用 SSL 证书。

我的问题是，在成功将证书导入证书存储区后，是否应该删除这些文件？我以为有人告诉我这很重要，因为您不希望任何人获取这些文件并能够使用证书或恶意导入。我知道如果我需要传输证书，我总是可以导出证书，但想知道我是否应该在导入后从服务器上删除这些文件？

Answer 1

SSL 证书有两部分；一个公钥和一个私钥。

.CER 文件不包含任何秘密。这是 Web 服务器发送给每个连接到启用 SSL 的站点的客户端的公钥。从安全的角度来看，没有理由删除它。事实上，您可能希望备份它，以防服务器死机并且需要在替换它的任何东西上重新使用它。

但是，如果没有匹配的私钥，.CER 文件就没有用处。创建证书请求时，Windows 会自动生成私钥。您的 .PFX 文件肯定包含 .CER 的副本。但它可能包含也可能不包含私钥的副本。这完全取决于谁生成它以及如何生成它。

如果 PFX 文件确实包含私钥，则是。把那个坏男孩锁在场外并从服务器上删除副本。拥有该文件的人可能会使用它来冒充您的网站。

如果 PFX 文件不包含私钥，它就不会比原始 CER 文件有用。如果可能的话，你可能要导出一个新的PFX文件是不包含DR私钥/备份的目的（假设证书允许导出私钥）。