sFTP 使用商业证书

Question

目前我们有一个 sFTP，但证书只是自签名。我们现在需要使用有效的商业证书。

请帮助我了解需要购买什么类型的证书以及验证证书的基本工作原理？

协议使用：仅在端口 22 上基于 SSH2 的 SFTP

Answer 1

没有任何。

正如您所说，SFTP 是基于 SSH2 的。它与 FTPS（基于 TLS 的 FTP）不同，并且不以任何方式使用 X.509 证书。SSH2 中的服务器身份验证主要基于“首次使用时信任”，因此根本没有对密钥进行签名。但是，自签名证书的许多问题并不适用。

唯一甚至远程关闭的是 OpenSSH 证书，它不用于商业销售——它们明确用于内部使用，每个站点都创建自己的 CA。此外，只有 OpenSSH 支持它们，其他 SFTP 客户端仅使用基本密钥或 Kerberos。

这就是说，如果你是使用FTPS，它会工作完全相同的方式作为TLS的Web浏览器（HTTPS） -它会使用相同的“TLS服务器”证书类型，以及完全相同的验证方法（“根的预装列表当局”）。

唯一的区别是，EV通常不支持以外的Web浏览器，所以定期组织-或域验证的证书就可以了。

最后，有一些例外。（就像一些程序员可以用任何语言编写 Fortran 一样，一些系统管理员设法将 X.509 放在任何地方。）

• 美国政府喜欢在任何事情上使用他们的 CAC 卡，并且甚至在 SSH 中修补了 X.509 PKI 支持。但是，如果这是您的情况，我认为您已经获得了正确的证书，而不必询问 SuperUser。

• 同样，各种分布式研究计算网格也有使用 X.509 PKI 的 SSH 补丁（GSI-SSH）。他们使用与主操作系统/网络浏览器列表分开的根权限列表；它有一些商业 CA 和一些由网格本身运行。他们还使用与常规“TLS 服务器”稍有不同的证书——在商业 CA 中称为“网格服务器”。

也就是说，我认为这里不适用任何例外情况。最有可能的是，编写您的需求的人根本不知道来自 FTPS 的 SFTP。