如果我的 CA 不支持，我该如何设置证书透明度？

Question

我想你们中的许多人实际上都听说过Google 的证书透明度计划。现在启动涉及某个 CA 颁发的所有证书的公共日志。由于这是一些工作量，并非所有 CA 都已设置它。例如，StartCom已经说过，很难从他们这边进行设置，而正确的设置需要几个月的时间。与此同时，Chrome 将所有 EV 证书“降级”为“标准证书”。

现在据说可以通过三种方式提供必要的记录以防止降级：

• x509v3 扩展，显然只有 CA 才有可能
• TLS 扩展
• OCSP 装订

现在我认为第二个和第三个需要（不？）来自颁发 CA 的交互。

所以问题是：
如果我的 CA 不支持，我可以使用我的 apache 网络服务器设置证书透明度支持，如果可能，我该怎么做？

Answer 1

抱歉，除非您自己进行证书透明度扩展，否则您不能这样做。Apache 2.4.x 中没有用于证书透明度的现有 TLS 扩展，x509v3 扩展和 OCSP 装订只能由证书颁发机构完成。不过，Apache 正在努力为 Apache 2.5 引入 TLS 扩展。