我可以通过签署的中间证书成为我自己的可信 CA 吗？

Question

我可以从根 CA 获得证书，然后我可以用它来签署我自己的 Web 服务器证书吗？如果可能，我会使用签名证书作为中间人来签署其他证书。

我知道我必须使用“我的”中间证书以某种方式配置我的系统，以便向我的客户提供有关信任链的信息。

这可能吗？根 CA 愿意签署这样的证书吗？这个很贵吗？

背景

我熟悉 SSL 的基础知识，因为它与通过 HTTP 保护网络流量有关。我也对信任链的工作方式有基本的了解，因为如果您使用具有有效链的证书进行加密，则“默认情况下”网络流量是安全的，该链一直回到根 CA，由浏览器确定/OS 供应商。

我也知道许多根 CA 已经开始使用中间证书为最终用户（如我）签署证书。这可能需要更多的设置，否则，这些证书将正常工作。我想这与保护他们对 CA 的所有有价值的私钥以及如果我受到威胁将会造成的灾难有关。

例子

现在，我们绝对没有这些组织的规模，但他们似乎正在做这样的事情。这肯定会使这些证书的管理变得更加可口，尤其是考虑到我们正在扩大电子商务平台范围的一种方式。

Answer 1

您的问题对我和其他人来说是“我如何向组织内部和外部任意互联网用户信任的实体颁发证书？”

如果这是你的问题，那么答案是“你没有。”。如果不是，请澄清。

我还建议阅读 Brian Komar 撰写的“Windows Server 2008 PKI 和证书安全性”，并考虑您的应用程序的所有各种 PKI 方案。您无需使用 Microsoft 的 CA 即可从书中获得一些东西。

它不仅仅是一个证书。Sun/Microsoft/Dell 正在运行一个中间 CA。运营面向公众的企业 CA 是一项昂贵且复杂的任务，需要定期进行外部审计。Komar 一书解释了许多 CA 场景并说明了它为何如此复杂。如果您的应用程序设计正在引领您走上成为 CA 的道路，那么您需要对您的设计目标和实施策略进行长期认真的思考。 (13认同)

Answer 2

快速搜索表明存在这样的东西，但“联系我们获取报价”表明它不会便宜：

我对这家公司不做任何声明，但该页面可能会为您提供一些条款，以供您查找其他做同样事情的公司。