En certifikatsigneringsbegäran (CSR) är en kodad fil, genererad med ett offentligt-privat nyckelpar, som en person eller organisation skickar till en certifikatutfärdare för att begära ett digitalt certifikat.
En CSR är ett block med kodad text som innehåller en offentlig nyckel och identifierande detaljer, såsom domännamn, organisationsnamn och plats, som en certifikatutfärdare (CA) använder för att verifiera identitet och utfärda ett SSL/TLS- eller kodsigneringscertifikat. Den matchande privata nyckeln finns kvar på begärarens server och inkluderas aldrig i CSR:n.
Key Takeaways
- En CSR har en publik nyckel, inte en privat nyckel. Den privata nyckeln genereras tillsammans med den men lämnar aldrig begärarens system eller skickas till CA.
- En CSR följer PKCS #10-formatet. PKCS #10, som definieras i RFC 2986, specificerar den struktur som varje standardkompatibel CSR använder, oavsett vilket verktyg som genererade den.
- Fältet Common Name (CN) innehåller domänen. För ett TLS-certifikat är CN det fullständigt kvalificerade domännamn som certifikatet skyddar, till exempel www.example.com.
- Valideringsnivån beror på vilken certifikattyp som begärs. Domain Validated (DV) kontrollerar endast domänkontroll; Organization Validated (OV) och Extended Validation (EV) verifierar även organisationens juridiska existens.
- En felaktig eller inaktuell CSR orsakar förseningar i utfärdandet, inte säkerhetsbrister. CA:er avvisar CSR:er med felaktiga eller föråldrade organisationsuppgifter, vilket är anledningen till att CSR:ernas noggrannhet påverkar utfärdandehastigheten.
Vilken information ska ingå i en CSR
En CSR buntar samman en liten uppsättning identitetsattribut med den offentliga nyckelhalvan av ett nyligen genererat nyckelpar.
| Fält | BESKRIVNING | Exempelvis |
|---|---|---|
| Vanligt namn (CN) | Domännamnet som certifikatet kommer att säkra | www.krypteringskonsulting.com |
| Organisation (O) | Den juridiska person som certifikatet utfärdas till | Krypteringskonsulting LLC |
| Organisationsenhet (OU) | Valfri avdelning eller division | Säkerhet |
| Ort (L) | Stad där organisationen är belägen | Dallas |
| Delstat/Provins (ST) | Organisationens delstat eller provins | Texas |
| Land (C) | ISO-landskod med två bokstäver | US |
Moderna certifikatutfärdare förlitar sig i allt högre grad på tillägget Subject Alternative Name (SAN) snarare än enbart CN för att lista varje domän och underdomän som ett certifikat täcker, eftersom webbläsare slutade lita på CN-certifikat för TLS-validering för flera år sedan.
Hur CSR-processen fungerar
- Att generera och skicka in en CSR följer sex steg från nyckelskapande till certifikatinstallation.
- Generera ett nyckelpar. Ett offentligt och ett privat nyckelpar skapas på servern, HSM:en eller klientverktyget som ska innehålla certifikatet.
- Skapa kundtjänstansökan. Med hjälp av den privata nyckeln genererar begäranden en CSR som innehåller den offentliga nyckeln och identitetsfälten, vanligtvis med OpenSSL eller en webbläsarbaserad CSR-generator.
- Skicka in CSR:n till en CA. CSR:n skickas till en betrodd offentlig CA, eller till en intern CA för privat PKI, för signering.
- CA-verifiering. CA validerar begäran. Domain Validated (DV) kräver endast bevis på domänkontroll; Organization Validated (OV) och Extended Validation (EV) verifierar även den juridiska personen bakom begäran.
- Certifikatutfärdande. När verifieringen är godkänd signerar och utfärdar CA:n certifikatet som matchar CSR:ns offentliga nyckel.
- Installation av certifikat. Det utfärdade certifikatet installeras på servern tillsammans med den privata nyckeln som genererades i steg ett.
Verktyg för CSR-generering
De flesta team genererar CSR:er med OpenSSL, en Windows CA-klient eller en webbläsarbaserad generator snarare än för hand.
OpenSSL är fortfarande det vanligaste kommandoradsalternativet och fungerar i Linux, macOS och Windows. Windows-miljöer kan också använda certreq för att generera och skicka in en CSR direkt till en intern Windows CA. Online-CSR-generatorer byter ut viss kontroll mot hastighet, vilket är användbart för ett engångscertifikat men mindre lämpligt för att hantera hundratals certifikat över ett företag.
Elementen i ett CSR-dokument
Tänk på CSR som ett digitalt formulär du fyller i när du ansöker om ett certifikat. Du kan använda ett CSR för att generera SSL/TLS-certifikat . Det innehåller viktig information som bevisar din identitet och fastställer legitimiteten för din online-närvaro. Här är vad typiska CSR-komponenter är:
| Elementet | BESKRIVNING | Exempelvis |
|---|---|---|
| Vanligt namn (CN) | Det primära domännamnet för certifikatet. | www.krypteringskonsulting.com |
| Organisation (O) | Den juridiska personens namn är det namn som certifikatet utfärdas till. | Krypteringskonsulting |
| Organisationsenhet (OU) | En specifik avdelning eller division inom organisationen (valfritt). | Säkerhet |
| Ort (L) | Staden eller orten där organisationen är belägen. | Dallas |
| Delstat eller provins (ST) | Den delstat eller provins där organisationen är belägen. | Texas |
| Land (C) | Den tvåbokstäver långa landskoden för CSR där organisationen är registrerad. | US |
| E-postadress | En e-postadress behövs för att kontakta certifikatbegäraren. | [e-postskyddad] |
Hur krypteringskonsulting hjälper
CertSecure Manager automatiserar genereringen av CSR som en del av hanteringen av hela certifikatlivscykeln, från identifiering och inventering till utfärdande, driftsättning, förnyelse och återkallelse. Den fyller i organisationsuppgifter konsekvent för varje begäran, skickar CSR:n direkt till CA:n och tar bort de manuella kopierings- och klistrafel som orsakar förseningar vid utfärdande. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.
Vanliga frågor om partihandel med mat och dryck
Är ett CSR samma sak som ett certifikat?
Nej. En CSR är en begäran, inte ett certifikat. Den innehåller en offentlig nyckel och identitetsinformation som en certifikatutfärdare granskar och, om den godkänns, signerar för att producera själva certifikatet. CSR:n i sig ger inget förtroende; den startar bara utfärdandeprocessen.
Vilket format använder en CSR?
Standardkompatibla CSR:er följer PKCS #10-formatet som definieras i RFC 2986. En PKCS #10 CSR genereras med verktyg som OpenSSL och presenteras vanligtvis som Base64-kodad text omslagen i markörerna '—–BEGIN CERTIFICATE REQUEST—–' och '—–END CERTIFICATE REQUEST—–'.
Inkluderar CSR:n min privata nyckel?
Nej. CSR:n inkluderar endast den publika nyckeln från det nyligen genererade nyckelparet. Den privata nyckeln måste förbli konfidentiell på det system som genererade den och bör aldrig överföras till CA:n eller inkluderas i CSR:n.
Kan jag använda en CSR för flera domäner?
Ja, med hjälp av tillägget Subject Alternative Name (SAN), som listar alla ytterligare domäner eller underdomäner som certifikatet ska täcka. Ett Multi-Domain (SAN)- eller wildcard-certifikat är båda beroende av detta tillägg snarare än att kräva en separat CSR per domän.
Vad händer om min CSR-information är felaktig?
CA validerar CSR:n mot den begärda certifikattypen. Felaktiga eller ofullständiga organisationsuppgifter leder vanligtvis till att CA avvisar begäran eller begär korrigerad dokumentation, vilket försenar utfärdandet. Det skapar inte i sig en säkerhetsbrist.
Generera kundtjänstmeddelanden utan manuellt arbete
Automatisera certifikatlivscykler med CertSecure Manager , eller prova den kostnadsfria CSR-generatorn för att skapa en standardkompatibel CSR på några minuter.