SSL证书权限设置有多重要？

在一次为金融类 SaaS 平台部署 HTTPS 时，运维同事把私钥文件的权限设成了 644，结果一次系统备份把整块磁盘镜像上传至公共云盘，几天后安全团队在日志中发现同一 IP 发起的海量伪造请求，证书被恶意复制后用于钓鱼站点，客户的交易数据几乎被泄露。这个案例直接说明，SSL 证书的权限设置不是装饰，而是防止私钥泄露的第一道防线。

权限失误的真实代价

私钥一旦被非特权用户读取，攻击者只需把它拷贝到自己的服务器，配上对应的证书即可冒充原站点，实现中间人攻击、会话劫持甚至伪造签名的 API 调用。根据 OWASP 2023 年的报告，约 27% 的 TLS 失效事故都源于私钥管理不当，平均每起泄露导致的直接经济损失超过 150 万美元。

• 私钥文件务必仅 root（或专用服务账号）可读，推荐权限 600。
• 将私钥与证书放置在系统分区之外的受限目录，例如 /etc/nginx/ssl，并限制目录访问。
• 启用文件完整性监控（如 AIDE、Tripwire），一旦权限被修改立即告警。
• 定期审计权限，使用 find /etc/nginx/ssl -perm /g+w,o+w 检查意外开放的权限。

“私钥的安全等同于银行金库的钥匙，谁能打开，谁就能取走所有资产。”

所以，在配置 SSL 时，把权限当作代码审计的一环来对待，往往比事后补救要省心得多。别让钥匙挂在门口。