¿Puedo ser mi propia CA de confianza a través de un certificado intermedio firmado?

¿Puedo obtener un certificado de una CA raíz que luego pueda usar para firmar mis propios certificados de servidor web? De ser posible, usaría un certificado firmado como intermediario para firmar otros certificados.

Sé que tendría que configurar mis sistemas de cierta manera con "mi" certificado intermedio para proporcionar información sobre la cadena de confianza a mis clientes.

es posible? ¿Las CA raíz están dispuestas a firmar un certificado como este? ¿Es caro?

FONDO

Estoy familiarizado con los conceptos básicos de SSL en lo que respecta a la seguridad del tráfico web a través de HTTP. También tengo una comprensión básica de la forma en que funciona la cadena de confianza, en el sentido de que el tráfico web está protegido "por defecto" si se encripta con un certificado que tiene una cadena válida hasta una CA raíz, según lo determine el navegador / OS vendor.

También soy consciente de que muchas de las CA raíz han comenzado a firmar certificados para usuarios finales (como yo) con certificados intermedios. Eso puede requerir un poco más de configuración por mi parte, pero de lo contrario, esos certificados funcionarán bien. Supongo que esto tiene que ver con la protección de su valiosa clave privada para la CA y el desastre que sería si alguna vez estuviera en peligro.

EJEMPLOS

1. https://www.microsoft.com
2. https://www.sun.com
3. https://ecomm.dell.com/myaccount/ga/login.aspx?c=us&cs=19&l=en&s=dhs

Ahora, definitivamente no somos del tamaño de ninguna de esas organizaciones, pero parecen estar haciendo algo como esto. Definitivamente, la administración de estos certificados sería mucho más aceptable, especialmente considerando una forma en que estamos expandiendo el alcance de nuestra plataforma de comercio electrónico.

Su pregunta se lee para mí y para otros como "¿Cómo expido certificados a entidades dentro y fuera de mi organización en las que confían los usuarios arbitrarios de Internet?"

Si esa es su pregunta, la respuesta es "No lo hace". Si no es así, por favor aclare.

También recomiendo leer "Windows Server 2008 PKI y seguridad de certificados de Brian Komar" y considerar todos los diversos escenarios de PKI para sus aplicaciones. No necesita usar la CA de Microsoft para sacar algo del libro.

Una búsqueda rápida muestra que tales cosas existen, pero con el 'contáctenos para una cotización' sugiere que no será barato:

https://www.globalsign.com/en/certificate-authority-root-signing/

No hago ningún reclamo sobre la compañía, pero esa página puede darle términos para usar para encontrar otras compañías que hagan lo mismo.

Si pudiera hacer esto, ¿qué evitará que Joe Malware emita un certificado para www.microsoft.com y le brinde su propia marca "especial" de actualizaciones a través de un secuestro de DNS?

FWIW, he aquí cómo obtener su certificado raíz incluido por Microsoft en el sistema operativo:

http://technet.microsoft.com/en-us/library/cc751157.aspx

Los requisitos son bastante elevados.

Esto es básicamente indistinguible de convertirse en un revendedor para esa CA raíz, que casi con seguridad cuesta mucho esfuerzo y dinero. Esto se debe a que, como señala Tim, puede hacer un certificado válido para cualquier dominio, que no debe permitirse a menos que controle ese dominio.

Una alternativa es el programa de revendedores de RapidSSL en el que hacen todo el trabajo duro y emiten desde su CA raíz.

Hágase estas dos preguntas:

1. ¿Confía en que sus usuarios importen correctamente los certificados raíz en su navegador web?
2. ¿Tiene los recursos para asociarse con una CA raíz existente?

Si la respuesta es sí a 1, CAcert ha resuelto su problema por usted. Si la respuesta a 2 es sí, busque en la lista de certificados raíz de confianza enviados con OpenSSL, Firefox, IE y Safari y encuentre uno para firmar su certificado de intermediario.

Creo que lo mejor sería obtener un certificado comodín de la CA, de esa manera puede usar el mismo certificado en cualquier subdominio de su dominio principal, pero no puede emitir certificados para nada más.

Es posible que una CA raíz emita un certificado que permita emitir otros certificados, pero solo bajo un dominio específico. Necesitan establecer basicConstraints / CA: true y nameConstraints / allowed; DNS.0 = example.com

Entonces puede ejecutar su propia CA y emitir certificados como test.example.com (pero no test.foobar.com ) que a su vez será confiable para la web pública. No conozco ninguna CA raíz que brinde este servicio, pero de hecho es posible. Si alguien se topa con un proveedor de este tipo, hágamelo saber.

Además del enlace de Joe H, aquí hay un enlace que realmente funciona:

https://www.globalsign.com/en/certificate-authority-root-signing/

CA Root Signing no es barato, pero esas cosas existen para empresas más grandes.

Sé que esta es una publicación antigua, pero estaba buscando mucho para algo casi idéntico a esto. Haciéndose eco de algunas otras publicaciones ... es posible ... todo sea bastante costoso y difícil de establecer. Este artículo es un poco útil en "quién lo hace" y en general "lo que está involucrado" ...

https://aboutssl.org/types-of-root-signing-certificates/

En cuanto a algunos extras que he recogido de algunas fuentes dispersas ... algunos de los requisitos son tener "capital sustancial" y "seguro" ... de los cuales he encontrado que figuran en cualquier lugar de $ 1M a $ 5M Dependiendo de la fuente. Por lo tanto, no hace falta decir que esta no es una opción para una pequeña empresa.

Además, he visto publicaciones que indican que, por lo general, tomará cerca de un año satisfacer todos los requisitos y pasar por todos los obstáculos de auditoría. Además, los costos auxiliares involucrados en todo el proceso pueden variar de $ 100k a + $ 1M dependiendo del contratista general + legal + costos laborales, así como la cantidad de auditorías que atraviesa. Entonces, de nuevo, no es una aventura para una pequeña empresa.