Puis-je obtenir un certificat d'une autorité de certification racine que je peux ensuite utiliser pour signer mes propres certificats de serveur Web? J'utiliserais, si possible, un certificat signé comme intermédiaire pour signer d'autres certificats.
Je sais que je devrais configurer mes systèmes d'une certaine manière avec "mon" certificat intermédiaire afin de fournir des informations sur la chaîne de confiance à mes clients.
Est-ce possible? Les autorités de certification racine sont-elles disposées à signer un certificat comme celui-ci? Est-ce cher?
CONTEXTE
Je connais les bases de SSL en ce qui concerne la sécurisation du trafic Web via HTTP. J'ai également une compréhension de base du fonctionnement de la chaîne de confiance, en ce sens que le trafic Web est sécurisé "par défaut" si vous cryptez avec un certificat qui a une chaîne valide jusqu'à une autorité de certification racine, comme déterminé par le navigateur / Fournisseur OS.
Je sais également que de nombreuses autorités de certification racine ont commencé à signer des certificats pour les utilisateurs finaux (comme moi) avec des certificats intermédiaires. Cela peut nécessiter un peu plus de configuration de ma part, mais sinon, ces certificats fonctionneront bien. Je suppose que cela a à voir avec la protection de leur clé privée très précieuse pour l'AC et le désastre que ce serait si j'étais compromis.
EXEMPLES
- https://www.microsoft.com
- https://www.sun.com
- https://ecomm.dell.com/myaccount/ga/login.aspx?c=us&cs=19&l=en&s=dhs
Maintenant, nous ne sommes certainement pas de la taille de ces organisations, mais elles semblent faire quelque chose comme ça. Cela rendrait certainement la gestion de ces certificats beaucoup plus agréable, surtout si l'on considère une façon d'étendre la portée de notre plate-forme de commerce électronique.
la source
Une recherche rapide montre que de telles choses existent, mais avec le 'contactez-nous pour un devis' suggère que ce ne sera pas bon marché:
https://www.globalsign.com/en/certificate-authority-root-signing/
Je ne fais aucune réclamation au sujet de la société, mais cette page peut vous donner des termes à utiliser pour trouver d'autres sociétés faisant de même.
la source
Si vous pouviez le faire, qu'est-ce qui empêcherait Joe Malware d'émettre un certificat pour www.microsoft.com et de vous donner sa propre marque de mises à jour "spéciale" via un détournement DNS?
FWIW, voici comment obtenir votre certificat racine inclus par Microsoft dans le système d'exploitation:
http://technet.microsoft.com/en-us/library/cc751157.aspx
Les exigences sont assez élevées.
la source
Il est fondamentalement impossible de distinguer un revendeur de cette autorité de certification racine, ce qui coûte presque certainement beaucoup d'efforts et d'argent. En effet, comme le note Tim, vous pouvez créer un certificat valide pour n'importe quel domaine, ce qui ne devrait pas être autorisé sauf si vous contrôlez ce domaine.
Une alternative est le programme revendeur de RapidSSL dans lequel ils font tout le travail dur et émettent à partir de leur autorité de certification racine.
la source
Posez-vous ces deux questions:
Si la réponse est oui à 1, CAcert a résolu votre problème pour vous. Si la réponse à 2 est oui, consultez la liste des certificats racine de confiance livrés avec OpenSSL, Firefox, IE et Safari et trouvez-en un pour signer votre certificat intermédiaire.
la source
Je pense que ce que vous feriez mieux est d'obtenir un certificat générique de l'autorité de certification, de cette façon, vous pouvez utiliser le même certificat sur n'importe quel sous-domaine de votre domaine principal, mais vous ne pouvez pas émettre de certificats pour autre chose.
la source
Il est possible pour une autorité de certification racine d'émettre un certificat qui permet d'émettre d'autres certificats, mais uniquement sous un domaine spécifique. Ils doivent définir basicConstraints / CA: true et nameConstraints / allowed; DNS.0 = example.com
Ensuite, vous êtes libre d'exécuter votre propre autorité de certification et d'émettre des certificats comme test.example.com (mais pas test.foobar.com ) qui à son tour seront approuvés par le Web public. Je ne connais aucune autorité de certification racine qui fournit ce service, mais c'est effectivement possible. Si quelqu'un tombe sur un tel fournisseur, faites-le moi savoir.
la source
En plus du lien de Joe H, voici un lien qui fonctionne réellement:
https://www.globalsign.com/en/certificate-authority-root-signing/
CA Root Signing n'est pas bon marché, mais ces choses existent pour les grandes entreprises.
la source
Je sais que c'est un vieux post, mais je cherchais longtemps et dur quelque chose de presque identique à cela. Faisant écho à quelques autres posts ... c'est possible ... le tout soit assez cher et difficile à établir. Cet article est un peu utile dans le "qui le fait" et le général "ce qui est impliqué" ....
https://aboutssl.org/types-of-root-signing-certificates/
En ce qui concerne certains extras que j'ai ramassés auprès de sources dispersées ... certaines des exigences ont une "équité substantielle" et une "assurance" ... dont j'ai trouvé la liste entre 1 M $ et 5 M $ selon la source. Il va sans dire que ce n'est pas une option pour une petite entreprise.
De plus, j'ai vu des articles indiquant qu'il faudrait généralement près d'un an pour satisfaire toutes les exigences et passer à travers tous les cercles d'audit. De plus, les coûts accessoires impliqués dans l'ensemble du processus peuvent varier de 100 000 $ à + 1 M $ selon les coûts de l'entrepreneur général + juridique + main-d'œuvre ainsi que du nombre de vérifications que vous effectuez. Donc, encore une fois, pas une entreprise pour une petite entreprise.
la source