¿Es posible comprar un certificado intermedio para usarlo para firmar certificados de subdominio? Debe ser reconocido por los navegadores y no puedo usar un certificado comodín.
La búsqueda no encontró nada hasta ahora. ¿Alguien está emitiendo tales certificados?
Respuestas:
El problema es que la infraestructura y la implementación utilizadas actualmente no admiten certificados intermedios que están limitados a solo algunos (sub) dominios. Esto, en efecto, significa que puede usar cualquier certificado intermedio para firmar cualquier certificado que desee y los navegadores confiarán en él, incluso si se tratara de certificados para dominios que no son de su propiedad.
Por lo tanto, dichos certificados intermedios solo se otorgan a organizaciones realmente confiables, sea lo que sea que esto signifique (pero probablemente haya mucho dinero involucrado).
fuente
No, porque sería una violación del certificado original: los navegadores confiarían en sus certificados y usted podría comenzar a emitir cosas para google.com, etc., y si lo hace de manera inteligente, no sería fácil obtenerlo.
Las autoridades de certificación intermedias tienen mucho poder. Una CA intermedia es una autoridad de firma de certificados, en la que se confía a través del certificado raíz, y nada en la especificación permite limitar la CA subordinada.
Como tal, ninguna organización de certificados acreditada le dará uno.
fuente
Es / fue posible comprar una CA válida de GeoTrust.
No pude encontrar el producto en las páginas en inglés, pero aquí hay una versión archivada:
http://archive.is/q01DZ
El producto todavía está disponible en su página en alemán:
http://www.geotrust.com/de/enterprise-ssl-certificates/georoot/
fuente
(Esta es una nueva respuesta a una vieja pregunta porque creo que esto ayuda a comprender que no hay "magia" detrás de los certificados y CA)
Como una extensión de la respuesta aprobada dada por @Steffen Ullrich
El certificado completo para identificar sitios web es solo un gran negocio de dinero. Los certificados X509 están definidos (entre otros) por RFC5280 y cualquiera puede ser una CA raíz o una CA intermedia, todo depende de la confianza que tenga con respecto a esa entidad.
Por ejemplo: si está en un dominio de Active Directory, su controlador de dominio principal es una autoridad de certificación raíz de confianza de forma predeterminada. Mientras tanto, no hay absolutamente ningún otro tercero involucrado.
En Internet, el problema es identificar "en quién puede confiar" porque es mucho más grande que una sola compañía. Y, por lo tanto, los proveedores de navegadores proporcionan una lista arbitraria personalizada de CA raíz en la que confiará sin solicitar su consentimiento.
Es decir: si tienes una muy buena relación con la fundación Mozilla, entonces tu propia CA raíz arbitraria autofirmada podría agregarse a esa lista en la próxima versión de su navegador Firefox ... ¡Solo porque lo decidieron!
Además, no hay RFC que definan el comportamiento y las reglas sobre cómo deben comportarse los navegadores con respecto a los certificados. Este es un consenso implícito de que debido a que el "CN" del certificado es igual al nombre de dominio, se supone que debe coincidir.
Debido a que esto no fue suficiente en algún momento, todos los proveedores de navegadores anularon implícitamente que un certificado comodín del formulario
*.domain.comcoincidiría con cualquier subdominio. Pero solo coincide con un nivel: no,sub.sub.domain.com¿por qué es eso? Porque ellos simplemente decidieron eso.Ahora, acerca de su pregunta original, ¿qué impediría que su certificado de dominio principal pueda crear subcertificados para sus propios subdominios? Es un proceso fácil de verificar para el navegador, solo obtener la cadena de certificados.
La respuesta es: nada
(excepto que técnicamente debe tener una "bandera" en su propio certificado de dominio para hacerlo)
Los vendedores de broswers, si lo encuentran lo suficientemente conveniente, pueden decidir apoyarlo.
Sin embargo, volviendo a mi primera declaración, este es un gran negocio de dinero. Entonces, esas pocas CA raíz que tienen acuerdos con los proveedores de navegadores están gastando grandes cantidades de dinero para aparecer en esa lista. Y hoy, recuperan ese dinero porque tiene que pagar por cada certificado de subdominio individual u obtener un comodín que es mucho más costoso. Si le permitieran crear sus propios certificados de subdominio, esto reduciría enormemente sus ganancias. Por eso, a partir de hoy, no puedes hacerlo.
Bueno, todavía puede hacerlo, porque sería estrictamente un certificado x509 válido, pero ningún navegador lo reconocería.
fuente