我可以通过签署的中间证书成为我自己的可信CA吗?

我可以从根CA获得证书,然后我可以使用它来签署我自己的Web服务器证书吗? 如果可能,我会使用签名证书作为中间人签署其他证书。

我知道我必须用“我的”中间证书以某种方式configuration我的系统,以便向我的客户提供关于信任链的信息。

这可能吗? 根CA是否愿意签署这样的证书? 这个很贵吗?

背景

我熟悉SSL的基础知识,因为它涉及通过HTTP保护Webstream量。 我还对信任链的工作方式有了一个基本的了解,因为如果您使用具有有效链的证书进行encryption,那么根据浏览器的确定,networkingstream量将被“默认”保护/ OS供应商。

我也知道,许多根CA已经开始用中级证书为最终用户(如我)签名证书。 这可能需要在我的一端更多的设置,但否则,这些证书将正常工作。 我想这与保护CA的全部有价值的私钥以及如果我曾经被盗用过的灾难有关。

例子

  1. https://www.microsoft.com
  2. https://www.sun.com
  3. https://ecomm.dell.com/myaccount/ga/login.aspx?c=us&cs=19&l=en&s=dhs

现在,我们绝对不是这些组织的规模,但他们似乎正在做这样的事情。 这肯定会使这些证书的pipe理更加可口,尤其是考虑到我们正在扩大电子商务平台的范围。

您的问题在我和其他人看来是这样写的:“我如何向组织内部和外部的受任意互联网用户信任的实体颁发证书?

如果那是你的问题,答案是“你没有”。 如果不是,请澄清。

我还build议您阅读Brian Komar的“Windows Server 2008 PKI和证书安全性”,并考虑您的应用程序的所有各种PKIscheme。 你不需要使用微软的CA来从本书中获得一些东西。

一个快速的search显示,这样的事情存在,但与“联系我们的报价”表明它不会便宜:

https://www.globalsign.com/en/certificate-authority-root-signing/

我对这家公司没有任何要求,但是这个页面可能会给你一些条款来帮助其他公司做同样的事情。

如果你能做到这一点,有什么办法阻止Joe Malware发布www.microsoft.com的证书,并通过DNS劫持为你提供他自己的“特殊”品牌的更新?

FWIW,下面是如何获取Microsoft在操作系统中包含的根证书:

http://technet.microsoft.com/en-us/library/cc751157.aspx

要求非常陡峭。

这基本上不可能成为根CA的转售商,这几乎肯定会花费大量的精力和金钱。 这是因为,正如Tim指出的那样,您可以为任何域创build有效的证书,除非您控制该域,否则不应该被允许。

另一种方法是RapidSSL的经销商计划,在这个计划中,他们从根CA中完成所有艰苦的工作和问题。

问自己这两个问题:

  1. 你相信你的用户正确地导入根证书到他们的Web浏览器?
  2. 您是否有资源与现有的根CA进行合作?

如果答案是1, CAcert已经为您解决了您的问题。 如果答案为是,请查看OpenSSL,Firefox,IE和Safari附带的受信任根证书列表,并find一个签署中间证书。

我认为你最好做的是从CA获取通配符证书,这样你就可以在主域的任何子域上使用相同的证书,但是不能为其他任何证书颁发证书。

除了Joe H的链接之外,这里还有一个实际工作的链接:

https://www.globalsign.com/en/certificate-authority-root-signing/

CA Root Signing并不便宜,但对于大型企业而言则存在这种情况。