Czy można kupić certyfikat pośredni, aby używać go do podpisywania certyfikatów poddomen? Przeglądarka musi to rozpoznać i nie mogę użyć certyfikatu wieloznacznego.
Wyszukiwanie jak dotąd nic nie wykazało. Czy ktoś wydaje takie certyfikaty?
20
Odpowiedzi:
Problem polega na tym, że obecnie używana infrastruktura i implementacja nie obsługuje certyfikatów pośrednich, które są ograniczone tylko do niektórych (pod) domen. Oznacza to, że możesz użyć dowolnego certyfikatu pośredniego do podpisania dowolnego certyfikatu, który chcesz, a przeglądarki będą mu ufać, nawet jeśli będą to certyfikaty dla domen, których nie posiadasz.
Tak więc takie pośrednie certyfikaty są wydawane tylko naprawdę godnym zaufania organizacjom, cokolwiek to oznacza (ale prawdopodobnie zaangażowanych jest wiele pieniędzy).
źródło
Nie, ponieważ byłoby to naruszenie oryginalnego certyfikatu - przeglądarki zaufałyby twoim certyfikatom i możesz zacząć wydawać rzeczy dla google.com itp. - a jeśli zrobisz to mądrze, nie będzie łatwo go zdobyć.
Pośrednie urzędy certyfikacji mają dużą moc. Pośredni urząd certyfikacji to urząd podpisujący certyfikat - któremu można zaufać za pośrednictwem certyfikatu głównego - i nic w specyfikacji nie pozwala na ograniczenie podrzędnego urzędu certyfikacji.
W związku z tym żadna renomowana organizacja certyfikatów nie będzie Ci go dawać.
źródło
Można / można było kupić prawidłowy urząd certyfikacji od GeoTrust.
Nie udało mi się znaleźć produktu na angielskich stronach, ale oto zarchiwizowana wersja:
http://archive.is/q01DZ
Produkt jest nadal dostępny na ich niemieckiej stronie:
http://www.geotrust.com/de/enterprise-ssl-certificates/georoot/
źródło
(To jest nowa odpowiedź na stare pytanie, ponieważ uważam, że pomaga to zrozumieć, że nie ma „magii” za certyfikatami i urzędem certyfikacji)
Jako rozszerzenie zatwierdzonej odpowiedzi udzielonej przez @Steffen Ullrich
Cały certyfikat identyfikujący strony internetowe to po prostu duży biznes. Certyfikaty X509 są definiowane (między innymi) przez RFC5280 i każdy może być głównym lub pośrednim urzędem certyfikacji, wszystko zależy od zaufania do tego podmiotu.
Np .: jeśli jesteś w domenie Active Directory, to twój podstawowy kontroler domeny jest domyślnie zaufanym głównym urzędem certyfikacji. Tymczasem nie ma żadnych innych stron trzecich.
W szerokim Internecie problemem jest identyfikacja „komu można zaufać”, ponieważ jest on znacznie większy niż tylko jedna firma. Dlatego dostawcy przeglądarek udostępniają niestandardową dowolną listę głównego urzędu certyfikacji, której ufa, bez pytania o zgodę.
Tj .: Jeśli masz bardzo dobre relacje z fundacją Mozilla, to twój własny samopodpisany główny urząd certyfikacji może zostać dodany do tej listy w następnej wersji przeglądarki Firefox ... Tylko dlatego, że tak postanowili!
Ponadto nie ma specyfikacji RFC, która definiowałaby zachowanie i zasady dotyczące zachowania przeglądarek w odniesieniu do certyfikatów. Jest to dorozumiany konsensus, że ponieważ „CN” certyfikatu jest równy nazwie domeny, ma on być zgodny.
Ponieważ w pewnym momencie nie było to wystarczające, wszyscy dostawcy przeglądarek domyślnie postarzali, że certyfikat wieloznaczny formularza
*.domain.combędzie pasował do dowolnej poddomeny. Ale pasuje tylko do jednego poziomu: nie,sub.sub.domain.comdlaczego? Ponieważ właśnie tak postanowili.Teraz, jeśli chodzi o twoje pierwotne pytanie, co uniemożliwiłoby twojemu certyfikatowi domeny podstawowej tworzenie subcertyfikatów dla twoich subdomen, jest to łatwy proces do sprawdzenia przez przeglądarkę, po prostu uzyskanie łańcucha certyfikatów.
Odpowiedź brzmi: nic
(z wyjątkiem tego, że technicznie powinieneś mieć „flagę” we własnym certyfikacie domeny, aby to zrobić)
Producenci przeglądarek, jeśli uznają to za wystarczająco wygodne, mogą zdecydować się na ich obsługę.
Jednak wracając do mojego pierwszego oświadczenia, jest to biznes dużych pieniędzy. Tak więc kilka głównych urzędów certyfikacji, które mają umowy z dostawcami przeglądarek, wydaje duże kwoty na pojawienie się na tej liście. A dzisiaj odzyskują te pieniądze, ponieważ musisz płacić za każdy indywidualny certyfikat subdomeny lub otrzymać znak wieloznaczny, który jest znacznie droższy. Jeśli pozwolą ci na tworzenie własnych certyfikatów poddomen, ogromnie zmniejszy to ich zysk. Dlatego właśnie na dzień dzisiejszy nie możesz tego zrobić.
Cóż, nadal możesz, ponieważ byłyby to wyłącznie ważne certyfikaty x509, ale żadna przeglądarka tego nie rozpoznałaby.
źródło