Po pierwsze, jeśli chodzi o rozróżnienie między kluczem a certyfikatem (w odniesieniu do „klucza CA”), w odniesieniu do certyfikatów klucza publicznego (zwykle X.509) używane są 3 elementy: klucz publiczny, klucz prywatny i certyfikat. Klucz publiczny i klucz prywatny tworzą parę. Możesz podpisać i odszyfrować kluczem prywatnym, możesz zweryfikować (podpis) i zaszyfrować kluczem publicznym. Klucz publiczny jest przeznaczony do dystrybucji, podczas gdy klucz prywatny ma być prywatny.
Certyfikat klucza publicznego to połączenie klucza publicznego i różnych informacji (głównie dotyczących tożsamości właściciela pary kluczy, tego, kto kontroluje klucz prywatny), przy czym ta kombinacja jest podpisana przy użyciu klucza prywatnego wystawcy certyfikat. Certyfikat X.509 ma nazwę wyróżniającą podmiotu i nazwę wyróżniającą wystawcy. Nazwa wystawcy to nazwa podmiotu certyfikatu podmiotu wydającego certyfikat. Certyfikaty z podpisem własnym to szczególny przypadek, w którym wystawca i podmiot są tacy sami. Podpisując treść certyfikatu (tj. Wystawiając certyfikat), wystawca potwierdza jego treść, w szczególności powiązanie między kluczem, tożsamością (podmiotem) oraz różnymi atrybutami (które mogą wskazywać na cel lub zakres zastosowania) certyfikat).
Ponadto specyfikacja PKIX definiuje rozszerzenie (część danego certyfikatu), które wskazuje, czy certyfikat może być używany jako certyfikat CA, czyli czy może być używany jako wystawca dla innego certyfikatu.
Na tej podstawie budujesz łańcuch certyfikatów między certyfikatem jednostki końcowej (który chcesz zweryfikować, dla użytkownika lub serwera) a certyfikatem CA, któremu ufasz. Między certyfikatem jednostki końcowej Twojej usługi a certyfikatem CA, któremu ufasz, mogą istnieć certyfikaty pośredniego urzędu certyfikacji (wydane przez inne certyfikaty CA). Nie potrzebujesz bezwzględnie głównego urzędu certyfikacji na górze (certyfikat CA z podpisem własnym), ale często tak jest (jeśli chcesz, możesz bezpośrednio zaufać pośredniczącemu urzędowi certyfikacji).
W twoim przypadku użycia, jeśli generujesz certyfikat z podpisem własnym dla określonej usługi, to, czy ma on flagę CA (rozszerzenie podstawowych ograniczeń), nie ma tak naprawdę znaczenia. Potrzebowałbyś certyfikatu CA, aby móc wystawiać inne certyfikaty (jeśli chcesz zbudować własną PKI). Jeśli certyfikat, który wygenerujesz dla tej usługi, jest certyfikatem CA, nie powinno to zaszkodzić. Bardziej liczy się sposób, w jaki możesz skonfigurować klienta, aby ufał temu certyfikatowi dla tego konkretnego serwera (na przykład przeglądarki powinny umożliwiać dość łatwe zrobienie wyraźnego wyjątku). Jeśli mechanizm konfiguracji jest zgodny z modelem PKI (bez użycia określonych wyjątków), ponieważ nie będzie potrzeby budowania łańcucha (z jednym certyfikatem), powinieneś mieć możliwość zaimportowania certyfikatu bezpośrednio jako część kotwic zaufania Twój klient, czy to ”