使用通配符ssl证书对其他证书进行签名

Question

是否可以使用通配符SSL证书对其他证书进行签名？

即我已经为* .example.com购买了根签名的通配符证书

我想允许第三方在thirdparty.example.com上为我提供服务。

我可以为thirdparty.example.com创建证书并使用我的* .example.com证书对其进行签名吗？还是我必须为第三方购买单独的证书。

如果这不可能，是否可以购买域签名证书？明确一点，我只想为.example.com签署证书，而不是根级别（ .com）签署证书。

Answer 1

不，您不能（尽管从技术上讲是可行的，但是它不起作用）。因为证书签名证书必须具有两个具有以下值的扩展名：

1. 基本约束必须设置为CA = True，并标记为关键
2. KeyUsages扩展必须启用keyCertSign和cRLSign位。

是否可以购买域签名证书？

是的，这是有可能的，但是对您来说将是非常昂贵的（如果您不打算颁发大量证书）。因为您将为此服务付出巨大的代价，所以需要购买必需的硬件（HSM是必需的），编写文档（至少要有CPS）并进行外部审核，以验证您是否遵守提供商的CPS（证书惯例声明）。几天前，我写了一篇有关根证书签名的文章：证书颁发机构根签名。

高温超导