Necesitamos usar SSL en nuestra red interna para algunas aplicaciones confidenciales, y necesito saber si hay una diferencia entre un certificado autofirmado y uno firmado por una CA de Windows Server que configuramos. ¿Necesitamos configurar una CA?
Respuestas:
A corto plazo para un solo servicio, no hay mucha diferencia.
Si decide que necesita configurar más servicios que usan SSL, puede encontrar que configurar una CA hubiera sido una mejor opción.
Si configura una CA, debería poder hacer que sus clientes confíen en la CA y, por lo tanto, en cualquier certificado que firme. Una vez que CA está arriba, agregar servicios adicionales es fácil. Con muchos certificados autofirmados, un usuario tendrá que aceptar cada certificado por separado.
¿Estás diciendo que tienes una CA de Windows? Si ya tienes uno, lo usaría. Si aún no tiene uno, estaría tentado a usar un sistema liviano como TinyCA que podría ejecutar en una VM o fuera de Linux en un disco USB.
Un certificado puede contener información sobre los usos para los que está autorizado, por ejemplo, si se permite su uso para firmar otros certificados de clave pública o si se trata de un certificado de CA. Algunas implementaciones pueden verificar ese tipo de información y negarse a honrar un certificado para ciertos fines sin la información correcta
Los ejemplos de estos datos adicionales incluyen:
Si está creando su propio certificado autofirmado, y desea usarlo como un certificado CA, y desea aumentar sus posibilidades de que sea aceptado por cualquier software con el que lo usará, probablemente debería asegurarse contiene valores configurados correctamente para esas dos extensiones que mencioné anteriormente.
Si omite esas dos extensiones, muchas implementaciones aún podrían honrarlo como un certificado de CA, pero algunas implementaciones podrían no hacerlo.
Si desea firmar sus propios certificados, necesitará una CA (ya sea suya o oficial). Sin embargo, no necesita enviar su CA a los usuarios a menos que planee firmar varios certificados y desee que sus usuarios solo tengan que aceptar uno (es decir, si instalan su CA, todos los certificados que emita serán aceptados). Sería mejor impulsar la CA a largo plazo.
¿No son lo mismo? Un certificado emitido por su propia CA interna está "autofirmado", lo que significa que no fue emitido por una CA externa, ¿verdad?