Acho que muitos de vocês já ouviram falar da iniciativa de Transparência de certificados do Google . Agora, o initiave envolve um log público de todos os certificados emitidos por alguma CA. Como isso é uma quantidade de trabalho, nem todas as autoridades de certificação o configuraram ainda. Por exemplo, a StartCom já disse que é difícil configurá-lo do lado deles e que uma configuração adequada levará meses. Enquanto isso, todos os certificados EV são "rebaixados" para "certificados padrão" pelo Chrome.
Agora, foi declarado que existem três maneiras de fornecer os registros necessários para impedir o downgrade:
- extensões x509v3, claramente apenas possíveis para a CA
- Extensão TLS
- Grampeamento OCSP
Agora, acho que o segundo e o terceiro exigem (não?) Interação da CA de emissão.
Portanto, a pergunta:
Posso configurar o suporte à transparência de certificados com meu servidor da Web apache se minha CA não o suportar e como posso fazê-lo, se possível?
Respostas:
Desculpe, mas você não pode, a menos que faça sua própria extensão para Transparência de certificado. Não há extensões TLS existentes para transparência de certificado no Apache 2.4.xe as extensões x509v3 e o grampeamento OCSP podem ser feitos apenas pela Autoridade de Certificação. O Apache está trabalhando para trazer uma extensão TLS para o Apache 2.5.
fonte
Atualmente, você pode fazer isso com o método de extensão TLS e o
mod_ssl_ctmódulo Apache.fonte