É possível comprar um certificado intermediário para usá-lo para assinar certificados de subdomínio? Ele deve ser reconhecido pelos navegadores e não posso usar um certificado curinga.
A busca não revelou nada até agora. Alguém está emitindo esses certificados?
Respostas:
O problema é que a infraestrutura e a implementação atualmente usadas não oferecem suporte a certificados intermediários limitados a apenas alguns (sub) domínios. Com efeito, isso significa que você pode usar qualquer certificado intermediário para assinar qualquer certificado que desejar e os navegadores confiarão nele, mesmo que sejam certificados para domínios que você não possui.
Portanto, esses certificados intermediários são dados apenas a organizações realmente confiáveis, seja lá o que isso signifique (mas provavelmente há muito dinheiro envolvido).
fonte
Não, porque isso seria uma violação do certificado original - os navegadores confiariam em seus certificados e você poderia começar a emitir coisas para o google.com etc. - e se você fizer isso com inteligência, não será fácil obtê-lo.
As autoridades intermediárias de certificação têm muito poder. Uma CA intermediária é uma autoridade de assinatura de certificado - que é confiável por meio do certificado raiz - e nada na especificação permite limitar a CA subordinada.
Como tal, nenhuma organização de certificação respeitável lhe dará uma.
fonte
É / foi possível comprar uma CA válida da GeoTrust.
Não consegui encontrar o produto nas páginas em inglês, mas aqui está uma versão arquivada:
http://archive.is/q01DZ
O produto ainda está disponível em sua página em alemão:
http://www.geotrust.com/de/enterprise-ssl-certificates/georoot/
fonte
(Esta é uma nova resposta para uma pergunta antiga, pois acredito que isso ajuda a entender que não há "mágica" nos certificados e na CA)
Como uma extensão da resposta aprovada dada por @Steffen Ullrich
Todo o certificado para identificar sites é apenas um grande negócio. Os certificados X509 são definidos (entre outros) pelo RFC5280 e qualquer um pode ser uma CA raiz ou uma CA intermediária, tudo depende da confiança que você tem em relação a essa entidade.
Por exemplo: se você estiver em um domínio do Active Directory, seu controlador de domínio primário é uma autoridade de certificação raiz confiável por padrão. Enquanto isso, não há absolutamente nenhum outro terceiro envolvido.
Na Internet ampla, o problema é identificar "em quem você pode confiar" porque é muito maior do que apenas uma empresa. E, portanto, os fornecedores de navegadores fornecem uma lista arbitrária personalizada da CA raiz em que confiarão sem solicitar seu consentimento.
Ou seja: Se você tem um relacionamento muito bom com a fundação Mozilla, sua própria CA raiz autoassinada arbitrária pode ser adicionada a essa lista no próximo lançamento do navegador Firefox ... Só porque eles decidiram!
Além disso, não há RFC que defina o comportamento e as regras sobre como os navegadores devem se comportar em relação aos certificados. Este é um consenso implícito de que, como o "CN" do certificado é igual ao nome do domínio, ele deve corresponder.
Como isso não foi suficiente em algum momento, todos os fornecedores de navegadores envelheceram implicitamente que um certificado curinga do formulário
*.domain.comcorresponderia a qualquer subdomínio. Mas corresponde apenas a um nível: não,sub.sub.domain.compor que isso? Porque eles decidiram que sim.Agora, sobre sua pergunta original, o que impediria que seu certificado de domínio primário pudesse criar sub-certificados para seus próprios subdomínios, é um processo fácil para o navegador verificar, apenas obtendo a cadeia de certificados.
A resposta é: nada
(exceto que tecnicamente você deve ter um "sinalizador" em seu próprio certificado de domínio para fazer isso)
Os fornecedores, se acharem conveniente o suficiente, podem decidir apoiá-lo.
No entanto, voltando à minha primeira declaração, este é um grande negócio de dinheiro. Portanto, as poucas autoridades de certificação raiz que têm acordos com os fornecedores de navegadores estão gastando grandes quantias para aparecer nessa lista. E hoje, eles recebem esse dinheiro de volta porque você precisa pagar por cada certificado de subdomínio individual ou obter um curinga que é muito mais caro. Se eles permitissem criar seus próprios certificados de subdomínio, isso reduziria tremendamente o lucro deles. É por isso que, a partir de hoje, você não pode fazê-lo.
Bem, você ainda pode, porque seriam estritamente certificados x509 válidos, mas nenhum navegador o reconheceria.
fonte