ฉันสามารถเป็น CA ที่เชื่อถือได้ของตัวเองผ่านใบรับรองกลางที่ลงนามแล้วหรือไม่?

ฉันสามารถรับใบรับรองจากรูต CA ที่ฉันสามารถใช้เพื่อเซ็นชื่อในใบรับรองเว็บเซิร์ฟเวอร์ของตัวเองได้หรือไม่? ถ้าเป็นไปได้ฉันจะใช้ใบรับรองที่ลงนามเป็นสื่อกลางในการเซ็นรับรองอื่น ๆ

ฉันรู้ว่าฉันจะต้องกำหนดค่าระบบของฉันในบางวิธีด้วยใบรับรองระดับกลางของฉัน "" เพื่อที่จะให้ข้อมูลเกี่ยวกับห่วงโซ่ความเชื่อมั่นที่มีต่อลูกค้าของฉัน

เป็นไปได้ไหม CA รูตเต็มใจลงชื่อใบรับรองเช่นนี้หรือไม่ มันแพง?

พื้นหลัง

ฉันคุ้นเคยกับพื้นฐานของ SSL เนื่องจากเกี่ยวข้องกับการรักษาความปลอดภัยของการรับส่งข้อมูลทางเว็บผ่าน HTTP ฉันยังมีความเข้าใจพื้นฐานเกี่ยวกับวิธีการทำงานของ chain of trust ในการรับส่งข้อมูลเว็บนั้นปลอดภัย "โดยค่าเริ่มต้น" ถ้าคุณเข้ารหัสด้วยใบรับรองที่มีเชนที่ถูกต้องตลอดทางจนถึงรูต CA ตามที่กำหนดโดยเบราว์เซอร์ / ผู้ขายระบบปฏิบัติการ

ฉันยังทราบด้วยว่า CA รูตจำนวนมากเริ่มลงนามใบรับรองสำหรับผู้ใช้ปลายทาง (เช่นฉัน) ด้วยใบรับรองระดับกลาง นั่นอาจต้องใช้การตั้งค่าอีกเล็กน้อยในตอนท้ายของฉัน แต่ไม่เช่นนั้นใบรับรองเหล่านั้นจะใช้ได้ดี ฉันเดาว่าสิ่งนี้เกี่ยวข้องกับการปกป้องคีย์ส่วนตัวที่มีค่าสำหรับ CA และความหายนะที่จะเกิดขึ้นหากฉันถูกบุกรุก

ตัวอย่าง

1. https://www.microsoft.com
2. https://www.sun.com
3. https://ecomm.dell.com/myaccount/ga/login.aspx?c=us&cs=19&l=en&s=dhs

ตอนนี้เราไม่ได้มีขนาดขององค์กรเหล่านั้นอย่างแน่นอน แต่พวกเขาดูเหมือนจะทำอะไรแบบนี้ แน่นอนว่ามันจะทำให้การจัดการใบรับรองเหล่านี้น่าพึงพอใจมากขึ้นโดยเฉพาะอย่างยิ่งการพิจารณาทางเดียวที่เราจะขยายการเข้าถึงแพลตฟอร์มอีคอมเมิร์ซของเรา

คำถามของคุณอ่านถึงฉันและกับคนอื่น ๆ ในฐานะ "ฉันจะออกใบรับรองไปยังหน่วยงานภายในและภายนอกองค์กรของฉันที่เชื่อถือได้โดยผู้ใช้อินเทอร์เน็ตตามอำเภอใจได้อย่างไร"

หากนั่นคือคำถามของคุณมากกว่าคำตอบคือ "คุณทำไม่ได้" หากไม่ใช่โปรดอธิบายให้ชัดเจน

ฉันยังแนะนำให้อ่าน "Windows Server 2008 PKI และใบรับรองความปลอดภัยโดย Brian Komar" และพิจารณาสถานการณ์ PKI ทั้งหมดสำหรับแอปพลิเคชันของคุณ คุณไม่จำเป็นต้องใช้ CA ของ Microsoft เพื่อดึงบางสิ่งบางอย่างออกจากหนังสือ

การค้นหาอย่างรวดเร็วแสดงให้เห็นว่าสิ่งต่าง ๆ นั้นมีอยู่ แต่ด้วย 'ติดต่อเราเพื่อขอใบเสนอราคา' แนะนำว่าจะไม่ถูก:

https://www.globalsign.com/en/certificate-authority-root-signing/

ฉันไม่อ้างสิทธิ์ใด ๆ เกี่ยวกับ บริษัท แต่หน้านั้นอาจมีข้อกำหนดให้คุณใช้เพื่อค้นหา บริษัท อื่นที่ทำเช่นเดียวกัน

หากคุณสามารถทำได้สิ่งที่จะป้องกันโจมัลแวร์จากการออกใบรับรองสำหรับ www.microsoft.com และให้การปรับปรุงแบรนด์ "พิเศษ" ของคุณเองผ่านการจี้ DNS

FWIW ต่อไปนี้เป็นวิธีรับใบรับรองหลักของคุณที่ Microsoft รวมไว้ในระบบปฏิบัติการ:

http://technet.microsoft.com/en-us/library/cc751157.aspx

ความต้องการค่อนข้างสูงชัน

นี่เป็นความแตกต่างที่เห็นได้ชัดจากการเป็นผู้ค้าปลีกสำหรับ CA รูตนั้นซึ่งเกือบจะแน่นอนว่าต้องใช้ความพยายามและเงินจำนวนมาก นี่เป็นเพราะทิมโน้ตคุณสามารถสร้างใบรับรองที่ถูกต้องสำหรับโดเมนใด ๆ ซึ่งไม่ควรได้รับอนุญาตเว้นแต่คุณจะควบคุมโดเมนนั้น

อีกทางเลือกหนึ่งคือโปรแกรมผู้ค้าปลีกของ RapidSSLที่พวกเขาทำงานหนักและออกจากรูต CA

ถามตัวเองด้วยคำถามสองข้อนี้:

1. คุณเชื่อถือผู้ใช้ของคุณเพื่อนำเข้าใบรับรองหลักในเว็บเบราว์เซอร์ของพวกเขาหรือไม่?
2. คุณมีทรัพยากรที่จะร่วมมือกับรูท CA ที่มีอยู่หรือไม่?

หากคำตอบคือใช่ถึง 1 CAcertได้แก้ปัญหาให้คุณแล้ว หากคำตอบของ 2 คือใช่ให้ดูในรายการใบรับรองหลักที่เชื่อถือได้ที่จัดส่งมาพร้อมกับ OpenSSL, Firefox, IE และ Safari และค้นหาใบรับรองเพื่อลงนามใบรับรองตัวกลางของคุณ

ฉันคิดว่าสิ่งที่คุณควรทำดีกว่าคือการรับใบรับรองตัวแทนจาก CA เพื่อให้คุณสามารถใช้ใบรับรองเดียวกันกับโดเมนย่อยใด ๆ ของโดเมนหลักของคุณ แต่คุณไม่สามารถออกใบรับรองสิ่งอื่นใดได้

เป็นไปได้ที่ root CA จะออกใบรับรองซึ่งทำให้สามารถออกใบรับรองอื่น ๆ ได้ แต่ภายใต้โดเมนที่ระบุ พวกเขาจำเป็นต้องตั้งค่าBasicConstraints / CA: จริงและnameConstraints / อนุญาต; DNS.0 = example.com

จากนั้นคุณมีอิสระในการใช้งาน CA ของคุณเองและออกใบรับรองเช่นtest.example.com (แต่ไม่ใช่test.foobar.com ) ซึ่งจะได้รับความเชื่อถือจากเว็บสาธารณะ ฉันไม่ทราบรูต CA ที่ให้บริการนี้ แต่เป็นไปได้แน่นอน หากใครก็ตามสะดุดกับผู้ให้บริการดังกล่าวโปรดแจ้งให้เราทราบ

นอกจากลิงค์จาก Joe H นี่คือลิงค์ที่ใช้งานได้จริง:

https://www.globalsign.com/en/certificate-authority-root-signing/

CA Root Signing ไม่ถูก แต่สิ่งเหล่านี้มีอยู่สำหรับองค์กรขนาดใหญ่

ฉันรู้ว่านี่เป็นโพสต์เก่า แต่ฉันดูยาวและยากสำหรับสิ่งที่เกือบจะเหมือนกันกับเรื่องนี้ สะท้อนจากการโพสต์อื่น ๆ ไม่กี่ ... มันเป็นไปได้ ... ทั้งหมดไม่ว่าจะค่อนข้างแพงและยากที่จะสร้าง บทความนี้เป็นประโยชน์เล็กน้อยใน "ใครทำ" และ "สิ่งที่เกี่ยวข้อง" ทั่วไป

https://aboutssl.org/types-of-root-signing-certificates/

สำหรับความพิเศษบางอย่างที่ฉันได้รับจากแหล่งที่กระจัดกระจาย ... ข้อกำหนดบางอย่างมี "ส่วนที่สำคัญ" และ "การประกันภัย" ... ซึ่งฉันได้พบว่ามีการระบุไว้ที่ใดก็ได้จาก $ 1M ถึง $ 5M ขึ้นอยู่กับแหล่งที่มา ดังนั้นไม่จำเป็นต้องพูดว่านี่ไม่ใช่ตัวเลือกสำหรับธุรกิจขนาดเล็ก

นอกจากนี้ฉันเคยเห็นโพสต์ที่ระบุว่าโดยปกติแล้วจะใช้เวลาเกือบหนึ่งปีในการตอบสนองความต้องการทั้งหมดและเพื่อตรวจสอบห่วงทั้งหมดของการตรวจสอบ นอกจากนี้ค่าใช้จ่ายเสริมที่เกี่ยวข้องกับกระบวนการทั้งหมดสามารถอยู่ในช่วงตั้งแต่ $ 100k ถึง + $ 1M ขึ้นอยู่กับผู้รับเหมาทั่วไป + ค่าใช้จ่ายทางกฎหมาย + ค่าแรงรวมถึงจำนวนการตรวจสอบที่คุณต้องทำ ดังนั้นไม่ใช่ธุรกิจสำหรับธุรกิจขนาดเล็ก