开始公司的数字证书基础设施

Question

我需要什么类型的数字证书产品才能在我的公司内部建立数字安全基础设施并供我们的客户使用（通过链接预先信任）？

我相信我需要某种由公共 CA 签名的根组织证书，并使我能够在我的组织内为 SSL、代码签名和客户端证书以及我可能需要的任何其他证书创建签名其他证书。我希望链接能够为客户验证已发布的组织证书以及公共 CA。

当我去我所知道的主要 CA 时，我没有看到任何明显符合我期望的产品。

我已经生成了几次自签名证书，并且我已经购买了精确域 SSL 证书。但现在我需要一个更大的计划。

我也知道 CA 系统存在缺陷的意见/事实，因此您不必在回答中花太多时间。

Answer 1

您的假设是错误的 - 没有公共 CA 会向您颁发证书以用作您的根证书。

您生成自己的自签名证书颁发机构并将其分发给客户，以使他们信任您。

然后你用它来签署你的证书。

所有公共 CA 都是自签名的 - 它们包含在您的操作系统或浏览器中，因为操作系统供应商认为它们值得信赖并添加了它们。如果他们确实向您颁发了签名证书，您可以使用它为 google.com 或 microsoft.com 制作一个完全有效的证书。那会很糟糕。除非你是国家安全局或其他什么人，否则他们不会那样做。

在 Windows 上，通过活动目录将证书分发到所有域连接的计算机几乎是自动完成的。

如果您想要在您的网络之外信任的证书，您需要为每个域购买单独的或通配符证书。运行您自己的 CA 通常仅在您自己的网络中使用。它可以在外部工作，但您需要确保人们将您的根证书添加到他们信任的证书中。