Uzyskiwanie pośredniego certyfikatu SSL

20

Czy można kupić certyfikat pośredni, aby używać go do podpisywania certyfikatów poddomen? Przeglądarka musi to rozpoznać i nie mogę użyć certyfikatu wieloznacznego.

Wyszukiwanie jak dotąd nic nie wykazało. Czy ktoś wydaje takie certyfikaty?

ssl

— Alex B.
źródło

3

DigiCert Enterprise pozwala wstępnie zweryfikować domenę, a następnie wygenerować certyfikat subdomeny na dużą skalę. (Ujawnienie: Nie pracuję dla DigiCert, ale mój pracodawca korzysta z ich usług certyfikacyjnych.)

— Moshe Katz

18

Problem polega na tym, że obecnie używana infrastruktura i implementacja nie obsługuje certyfikatów pośrednich, które są ograniczone tylko do niektórych (pod) domen. Oznacza to, że możesz użyć dowolnego certyfikatu pośredniego do podpisania dowolnego certyfikatu, który chcesz, a przeglądarki będą mu ufać, nawet jeśli będą to certyfikaty dla domen, których nie posiadasz.

Tak więc takie pośrednie certyfikaty są wydawane tylko naprawdę godnym zaufania organizacjom, cokolwiek to oznacza (ale prawdopodobnie zaangażowanych jest wiele pieniędzy).

— Steffen Ullrich
źródło

9

Tak, naprawdę godne zaufania organizacje, takie jak Comodo lub DigiNotar . Lub VeriSign („Szukam certyfikatu Microsoft ...” / „Proszę bardzo”). TURKTRUST , Digicert Sdn. Bhd , ...

— basic6

Właściwie nie - mają swój własny root i pośrednik. Zastąpienie katalogu głównego jest skomplikowane - więc zwykle wykonuje się TYLKO certyfikat główny, aby podpisać certyfikat pośredniego urzędu certyfikacji, a następnie przełączyć go na tryb offline. ;)

— TomTom

Wybieranie google bez konkretnego powodu, ale ponieważ mają one pośredni urząd certyfikacji i nie sprzedają certyfikatów, istnieje uzasadniona szansa, że może zostać skradziony i wykorzystany bez szybkiego wykrycia MITM między parą hostów wykonujących SMTP przez TLS. Podejrzewam, że sporo sysadminów nie pomyślałoby zbyt wiele, gdyby zmienił się certyfikat połączenia SMTP na certyfikat wystawiony przez google.

— Phil Lello,

... Rzeczywiście może się tak zdarzyć, gdy firma przejdzie na aplikacje Google do obsługi poczty e-mail.

— Phil Lello,

W rzeczywistości obecna PKI wyraźnie to obsługuje. Sekcja RFC 5280 definiuje rozszerzenie Ograniczenia nazw, które pozwala na utworzenie pośredniego urzędu certyfikacji z ograniczeniami dla domen, dla których mogą tworzyć. Problem polega na tym, że praktycznie nigdy nie został wdrożony.

— Jake

7

Nie, ponieważ byłoby to naruszenie oryginalnego certyfikatu - przeglądarki zaufałyby twoim certyfikatom i możesz zacząć wydawać rzeczy dla google.com itp. - a jeśli zrobisz to mądrze, nie będzie łatwo go zdobyć.

Pośrednie urzędy certyfikacji mają dużą moc. Pośredni urząd certyfikacji to urząd podpisujący certyfikat - któremu można zaufać za pośrednictwem certyfikatu głównego - i nic w specyfikacji nie pozwala na ograniczenie podrzędnego urzędu certyfikacji.

W związku z tym żadna renomowana organizacja certyfikatów nie będzie Ci go dawać.

— TomTom
źródło

3

Jasne, ale miałem wrażenie, że można ograniczyć pośredni zakres certyfikatu (np. Do jednej domeny). Inna odpowiedź wydaje się sugerować, że tak nie jest.

— Alex B,

1

Tak nie jest. Pośredni urząd certyfikacji to urząd podpisujący certyfikat - któremu można zaufać za pośrednictwem certyfikatu głównego - i nic w specyfikacji nie pozwala na ograniczenie podrzędnego urzędu certyfikacji.

— TomTom

@TomTom: Dobre wyjaśnienie. Pozwoliłem sobie na edytowanie twojego komentarza w twojej odpowiedzi.

— śleske

@alexb Uważam, że jest to przypadek specyfikacji na to pozwala, ale nie możesz polegać na implementacjach klienta, które ją obsługują. Niestety nie mogę znaleźć referencji, ale jestem dość pewny siebie.

— Phil Lello,

5

Można / można było kupić prawidłowy urząd certyfikacji od GeoTrust.

Nie udało mi się znaleźć produktu na angielskich stronach, ale oto zarchiwizowana wersja:

http://archive.is/q01DZ

Aby kupić GeoRoot, musisz spełnić następujące minimalne wymagania:

Wartość netto 5 mln USD lub więcej

Co najmniej 5 mln USD w ubezpieczeniu od błędów i pominięć

Dostarczono statut spółki (lub podobny) oraz certyfikat zasiedziałości

Pisemne i utrzymywane Kodeks Postępowania Certyfikacyjnego (CPS)

Urządzenie zgodne z FIPS 140-2 poziom 2 (GeoTrust współpracuje z SafeNet, Inc.) w zakresie generowania kluczy i przechowywania kluczy certyfikatów głównych

Zatwierdzony produkt CA firmy Baltimore / Betrusted, Entrust, Microsoft, Netscape lub RSA

Produkt jest nadal dostępny na ich niemieckiej stronie:

http://www.geotrust.com/de/enterprise-ssl-certificates/georoot/

— lamentować
źródło

4

(To jest nowa odpowiedź na stare pytanie, ponieważ uważam, że pomaga to zrozumieć, że nie ma „magii” za certyfikatami i urzędem certyfikacji)

Jako rozszerzenie zatwierdzonej odpowiedzi udzielonej przez @Steffen Ullrich

Cały certyfikat identyfikujący strony internetowe to po prostu duży biznes. Certyfikaty X509 są definiowane (między innymi) przez RFC5280 i każdy może być głównym lub pośrednim urzędem certyfikacji, wszystko zależy od zaufania do tego podmiotu.

Np .: jeśli jesteś w domenie Active Directory, to twój podstawowy kontroler domeny jest domyślnie zaufanym głównym urzędem certyfikacji. Tymczasem nie ma żadnych innych stron trzecich.

W szerokim Internecie problemem jest identyfikacja „komu można zaufać”, ponieważ jest on znacznie większy niż tylko jedna firma. Dlatego dostawcy przeglądarek udostępniają niestandardową dowolną listę głównego urzędu certyfikacji, której ufa, bez pytania o zgodę.

Tj .: Jeśli masz bardzo dobre relacje z fundacją Mozilla, to twój własny samopodpisany główny urząd certyfikacji może zostać dodany do tej listy w następnej wersji przeglądarki Firefox ... Tylko dlatego, że tak postanowili!

Ponadto nie ma specyfikacji RFC, która definiowałaby zachowanie i zasady dotyczące zachowania przeglądarek w odniesieniu do certyfikatów. Jest to dorozumiany konsensus, że ponieważ „CN” certyfikatu jest równy nazwie domeny, ma on być zgodny.

Ponieważ w pewnym momencie nie było to wystarczające, wszyscy dostawcy przeglądarek domyślnie postarzali, że certyfikat wieloznaczny formularza *.domain.combędzie pasował do dowolnej poddomeny. Ale pasuje tylko do jednego poziomu: nie, sub.sub.domain.comdlaczego? Ponieważ właśnie tak postanowili.

Teraz, jeśli chodzi o twoje pierwotne pytanie, co uniemożliwiłoby twojemu certyfikatowi domeny podstawowej tworzenie subcertyfikatów dla twoich subdomen, jest to łatwy proces do sprawdzenia przez przeglądarkę, po prostu uzyskanie łańcucha certyfikatów.

Odpowiedź brzmi: nic

(z wyjątkiem tego, że technicznie powinieneś mieć „flagę” we własnym certyfikacie domeny, aby to zrobić)

Producenci przeglądarek, jeśli uznają to za wystarczająco wygodne, mogą zdecydować się na ich obsługę.

Jednak wracając do mojego pierwszego oświadczenia, jest to biznes dużych pieniędzy. Tak więc kilka głównych urzędów certyfikacji, które mają umowy z dostawcami przeglądarek, wydaje duże kwoty na pojawienie się na tej liście. A dzisiaj odzyskują te pieniądze, ponieważ musisz płacić za każdy indywidualny certyfikat subdomeny lub otrzymać znak wieloznaczny, który jest znacznie droższy. Jeśli pozwolą ci na tworzenie własnych certyfikatów poddomen, ogromnie zmniejszy to ich zysk. Dlatego właśnie na dzień dzisiejszy nie możesz tego zrobić.

Cóż, nadal możesz, ponieważ byłyby to wyłącznie ważne certyfikaty x509, ale żadna przeglądarka tego nie rozpoznałaby.

— Szymon
źródło

Niewielki nitpick z przykładem AD. Usługa Active Directory sama w sobie nie korzysta ani nie zawiera infrastruktury PKI. Musisz to rozdzielić osobno i opcjonalnie skonfigurować domenę, aby ufać łańcuchowi, a następnie wygenerować certyfikaty dla kontrolerów domeny. W przeciwnym razie dobra odpowiedź.

— Ryan Bolger,