<html><head><meta http-equiv="Content-Type" content="text/html; charset=us-ascii"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class="">Hi Alex,<div class=""><br class=""></div><div class="">our device is unattended, not always on, and in some cases in only semi-secured locations. Besides preventing root access, we also need to protect against the hacking of a stolen device (or disk).</div><div class=""><br class=""></div><div class="">Human interaction is not practical (other than in exceptional situations). </div><div class=""><br class=""></div><div class="">Roger</div><div class=""><br class=""><div><br class=""><blockquote type="cite" class=""><div class="">On Nov 15, 2018, at 2:41 PM, Alex Samad <<a href="mailto:alex@samad.com.au" class="">alex@samad.com.au</a>> wrote:</div><br class="Apple-interchange-newline"><div class=""><div dir="ltr" class="">HI<div class=""><br class=""></div><div class="">isn't this a bit futile, if they can get onto the box that has nginx they can get either the private key or secret to get the private key.</div><div class=""><br class=""></div><div class="">safer would be to make it that you need human interact to start nginx.</div><div class=""><br class=""></div><div class="">But till a memory dump of the app would get you the private key.</div><div class=""><br class=""></div><div class=""><br class=""></div><div class=""><br class=""></div></div><br class=""><div class="gmail_quote"><div dir="ltr" class="">On Fri, 16 Nov 2018 at 00:03, Maxim Dounin <<a href="mailto:mdounin@mdounin.ru" class="">mdounin@mdounin.ru</a>> wrote:<br class=""></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hello!<br class="">
<br class="">
On Wed, Nov 14, 2018 at 12:17:57PM -0800, Roger Fischer wrote:<br class="">
<br class="">
> Hello,<br class="">
> <br class="">
> does NGINX support any mechanisms to securely access the private <br class="">
> key of server certificates?<br class="">
> <br class="">
> Specifically, could NGINX make a request to a key store, rather <br class="">
> than reading from a local file?<br class="">
> <br class="">
> Are there any best practices for keeping private keys secure?<br class="">
> <br class="">
> I understand the basics. The key file should only be readable by <br class="">
> root. I cannot protect the key with a pass-phrase, as NGINX <br class="">
> needs to start and restart autonomously.<br class="">
<br class="">
You actually can protect the key using a passphrase, see <br class="">
<a href="http://nginx.org/r/ssl_password_file" rel="noreferrer" target="_blank" class="">http://nginx.org/r/ssl_password_file</a>.  Though this might not be <br class="">
the best idea due to basically the same security provided, while <br class="">
involving higher complexity.<br class="">
<br class="">
Also, you can use "engine:..." syntax to load keys via OpenSSL <br class="">
engines.  This allows using various complex key stores, including <br class="">
hardware tokens, to access keys, though may not be trivial to <br class="">
configure.<br class="">
<br class="">
-- <br class="">
Maxim Dounin<br class="">
<a href="http://mdounin.ru/" rel="noreferrer" target="_blank" class="">http://mdounin.ru/</a><br class="">
_______________________________________________<br class="">
nginx mailing list<br class="">
<a href="mailto:nginx@nginx.org" target="_blank" class="">nginx@nginx.org</a><br class="">
<a href="http://mailman.nginx.org/mailman/listinfo/nginx" rel="noreferrer" target="_blank" class="">http://mailman.nginx.org/mailman/listinfo/nginx</a><br class="">
</blockquote></div>
_______________________________________________<br class="">nginx mailing list<br class=""><a href="mailto:nginx@nginx.org" class="">nginx@nginx.org</a><br class="">http://mailman.nginx.org/mailman/listinfo/nginx</div></blockquote></div><br class=""></div></body></html>