Mendapatkan sertifikat SSL perantara

20

Apakah mungkin untuk membeli sertifikat perantara untuk menggunakannya untuk menandatangani sertifikat subdomain? Itu harus dikenali oleh browser dan saya tidak bisa menggunakan sertifikat wildcard.

Pencarian tidak menemukan apa pun sejauh ini. Adakah yang menerbitkan sertifikat semacam itu?

ssl

— Alex B
sumber

3

DigiCert Enterprise memungkinkan Anda melakukan pra-validasi domain Anda dan kemudian melakukan pembuatan sertifikat subdomain skala besar. (Pengungkapan: Saya tidak bekerja untuk DigiCert, tetapi majikan saya menggunakan layanan sertifikat mereka.)

— Moshe Katz

18

Masalahnya adalah, bahwa infrastruktur dan implementasi yang saat ini digunakan tidak mendukung sertifikat perantara yang hanya terbatas pada beberapa (sub) domain. Ini, pada dasarnya, berarti bahwa Anda dapat menggunakan sertifikat perantara untuk menandatangani sertifikat apa pun yang Anda inginkan dan browser akan mempercayainya, bahkan jika ini akan menjadi sertifikat untuk domain yang bukan milik Anda.

Dengan demikian, sertifikat perantara semacam itu hanya diberikan kepada organisasi yang benar-benar dapat dipercaya, apa pun artinya ini (tetapi banyak uang mungkin terlibat).

— Steffen Ullrich
sumber

9

Ya, organisasi yang benar-benar dapat dipercaya seperti Comodo atau DigiNotar . Atau VeriSign ("Saya mencari sertifikat Microsoft ..." / "Ini dia". TURKTRUST , Digicert Sdn. Bhd , ...

— basic6

Sebenarnya tidak - mereka menjalankan root dan intermediate mereka sendiri. Mengganti root itu rumit - jadi apa yang biasanya dilakukan adalah menggunakan sertifikat root SAJA untuk menandatangani sertifikat perantara CA kemudian mengambil root ca offline. ;)

— TomTom

Memilih di google tanpa alasan tertentu, tetapi karena mereka memiliki CA perantara dan tidak menjual sertifikat, ada peluang yang masuk akal bahwa itu dapat dicuri dan disalahgunakan tanpa deteksi cepat untuk MITM antara sepasang host yang melakukan SMTP melalui TLS. Saya menduga bahwa beberapa sysadmin tidak akan berpikir terlalu banyak jika sertifikat berubah untuk koneksi SMTP ke yang dikeluarkan oleh google.

— Phil Lello

... Memang, ini mungkin yang terjadi ketika bisnis beralih ke aplikasi google untuk email.

— Phil Lello

Sebenarnya PKI saat ini secara eksplisit mendukung ini. Bagian RFC 5280 mendefinisikan ekstensi Nama Kendala yang memungkinkan pembuatan CA perantara dengan batasan pada domain apa mereka dapat membuat. Masalahnya adalah praktis tidak pernah diterapkan.

— Jake

7

Tidak, karena itu akan menjadi pelanggaran terhadap sertifikat asli - browser akan mempercayai sertifikat Anda dan Anda dapat mulai mengeluarkan barang untuk google.com dll. - dan jika Anda melakukannya dengan cerdas, Anda tidak akan mudah mendapatkannya.

Sertifikat Menengah Otoritas memiliki banyak kekuatan. CA perantara adalah otoritas penandatanganan sertifikat - yang dipercaya melalui sertifikat root - dan tidak ada dalam spesifikasi yang memungkinkan membatasi CA bawahan.

Dengan demikian, tidak ada organisasi sertifikat terkemuka yang akan memberikannya kepada Anda.

— TomTom
sumber

3

Tentu tapi saya mendapat kesan bahwa Anda dapat membatasi ruang lingkup sertifikat menengah (misalnya untuk satu domain). Jawaban lain tampaknya menyiratkan bukan itu masalahnya.

— Alex B

1

Bukan itu masalahnya. CA perantara adalah otoritas penandatanganan sertifikat - yang dipercaya melalui sertifikat root - dan tidak ada dalam spesifikasi yang memungkinkan membatasi CA bawahan.

— TomTom

@ TomTom: Penjelasan yang bagus. Saya mengambil kebebasan mengedit komentar Anda menjadi jawaban Anda.

— sleske

@alexb Saya percaya ini adalah kasus dari spec memungkinkan, tetapi Anda tidak bisa bergantung pada implementasi klien untuk mendukungnya. Sayangnya saya tidak dapat menemukan referensi tetapi cukup percaya diri.

— Phil Lello

5

Dimungkinkan untuk membeli CA yang valid dari GeoTrust.

Saya tidak dapat menemukan produk di halaman bahasa Inggris, tetapi ini adalah versi yang diarsipkan:

http://archive.is/q01DZ

Untuk membeli GeoRoot, Anda harus memenuhi persyaratan minimum berikut:

Kekayaan bersih $ 5 juta atau lebih

Minimal $ 5 juta dalam asuransi Kesalahan dan Kelalaian

Anggaran Dasar (atau yang serupa) dan sertifikat jabatan yang disediakan

Pernyataan Praktek Sertifikat (CPS) tertulis dan dipelihara

Perangkat yang mematuhi FIPS 140-2 Level 2 (GeoTrust telah bermitra dengan SafeNet, Inc.) untuk menghasilkan dan menyimpan kunci sertifikat root Anda

Produk CA yang disetujui dari Baltimore / Betrusted, Entrust, Microsoft, Netscape atau RSA

Produk ini masih tersedia di halaman bahasa Jerman mereka:

http://www.geotrust.com/de/enterprise-ssl-certificates/georoot/

— mengerang
sumber

4

(Ini adalah jawaban baru untuk pertanyaan lama karena saya yakin ini membantu memahami bahwa tidak ada "keajaiban" di balik sertifikat dan CA)

Sebagai perpanjangan dari jawaban yang disetujui yang diberikan oleh @Steffen Ullrich

Seluruh sertifikat untuk mengidentifikasi situs web hanyalah bisnis uang besar. Sertifikat X509 didefinisikan (antara lain) oleh RFC5280 dan siapa pun dapat menjadi CA root atau CA perantara, semuanya tergantung pada kepercayaan yang Anda miliki mengenai entitas itu.

Misalnya: Jika Anda berada di domain Active Directory, maka kontroler domain utama Anda adalah otoritas sertifikasi root tepercaya secara default. Sementara itu, sama sekali tidak ada pihak ketiga lain yang terlibat.

Di Internet yang luas, masalahnya adalah mengidentifikasi "siapa yang dapat Anda percayai" karena ini jauh lebih besar dari hanya satu perusahaan. Dan oleh karena itu, vendor browser memberikan daftar CA root sewenang-wenang khusus yang akan dipercaya tanpa meminta persetujuan Anda.

Yaitu: Jika Anda memiliki hubungan yang sangat baik dengan yayasan Mozilla, maka root CA Anda yang ditandatangani sendiri secara sewenang-wenang dapat ditambahkan ke daftar itu pada rilis berikutnya dari peramban Firefox mereka ... Hanya karena mereka memutuskannya!

Selain itu, tidak ada RFC yang menentukan perilaku dan aturan tentang bagaimana browser harus berperilaku terkait sertifikat. Ini adalah konsensus tersirat bahwa karena "CN" sertifikat sama dengan nama domain, itu seharusnya cocok.

Karena ini pada titik tertentu tidak mencukupi, semua vendor browser secara implisit setuju bahwa sertifikat wildcard dari formulir *.domain.comakan cocok dengan subdomain apa pun. Tetapi hanya cocok dengan satu level: tidak sub.sub.domain.commengapa begitu? Karena mereka baru saja memutuskan demikian.

Sekarang tentang pertanyaan awal Anda, apa yang akan mencegah sertifikat domain utama Anda diizinkan membuat sub-sertifikat untuk subdomain Anda sendiri, itu adalah proses yang mudah bagi browser untuk memeriksa, hanya mendapatkan rantai sertifikat.

Jawabannya adalah: tidak ada

(kecuali bahwa secara teknis Anda harus memiliki "bendera" di sertifikat domain Anda sendiri untuk melakukannya)

Vendor broswers, jika mereka merasa cukup nyaman, dapat memutuskan untuk mendukungnya.

Namun, kembali ke pernyataan pertama saya, ini adalah bisnis uang besar. Jadi beberapa root CA yang memiliki perjanjian dengan vendor browser menghabiskan banyak uang untuk muncul dalam daftar itu. Dan hari ini, mereka mendapatkan uang itu kembali karena Anda harus membayar untuk setiap sertifikat subdomain individu atau mendapatkan wildcard yang jauh lebih mahal. Jika mereka mengizinkan Anda untuk membuat sertifikat subdomain Anda sendiri, ini akan sangat mengurangi laba mereka. Jadi inilah mengapa pada hari ini, Anda tidak dapat melakukannya.

Yah, Anda masih bisa, karena itu akan benar-benar sertifikat x509 yang valid, tetapi tidak ada browser yang akan mengenalinya.

— Simon
sumber

Nitpick kecil dengan contoh AD Anda. Active Directory dengan sendirinya tidak benar-benar menggunakan atau mengandung infrastruktur PKI. Anda harus memutarnya secara terpisah dan secara opsional mengkonfigurasi domain untuk mempercayai rantai dan kemudian menghasilkan sertifikat untuk pengontrol domain. Kalau tidak, jawaban yang bagus.

— Ryan Bolger