Etki alanım için alt etki alanları için diğer sertifikaları imzalayabilecek bir sertifika satın alabilir miyim?

SSL / TLS web sayfalarını 443 numaralı bağlantı noktası üzerinden ziyaret eden web tarayıcılarına sunan bir Windows bilgisayarda çalışacak küçük bir program yazdım. Teknik olmayan kişilerin bu programı kurmaları ve çalıştırmaları için kolay olmasını istiyorum. Programda kendinden imzalı bir sertifika veya sertifika imzalama isteği oluşturmalarını kolaylaştırdım, ancak CSR'yi sunucularını işaret eden bir etki alanı adına imzalayıp bağlanma konusunda mücadele edeceklerini düşünüyorum. Bu sürecin teknik zorluğunu en aza indirmek istiyorum.

Etki alanı adımın alt alanları için sertifika imzalayabilen bir SSL sertifikası alabilir miyim? Customer1.mydomain.com, customer2.mydomain.com vb. Gibi bir şey daha sonra DNS alt etki alanlarını sunucularına yönlendirebilir ve sertifikalarını onlar için imzalayabilir ve tüm işlemi otomatikleştirebilirim. Ya da belki bu çok pahalı olurdu?

Olmazsa, tüm web uygulamalarını * .alanalan.com sertifikasıyla kendi sunucumda barındırmanın yanı sıra, SSL sertifikalarını ve etki alanı adlarını ayarlamak için onlara verebileceğim en basit çözüm nedir?

StartCom bir Orta Sertifika Yetkilisi programına sahiptir . Bağlantılı siteye göre, program 1000 veya daha fazla sertifika verenlere yöneliktir ve verilen sertifika başına ortalama maliyeti yaklaşık 2 ABD dolarıdır.

İşin asıl üzücü amacı, R.50 2459 Bölüm 4.2.1.11'de tanımlandığı gibi x.509 Ad Kısıtlamasına izin verilenSubtrees özniteliği ile teknik olarak mümkün olmasıdır , ancak size böyle bir sertifika vermek isteyen herhangi bir CA'yı bulamazsınız.

Bazıları, böyle bir sertifikayı bir defa satmanın, size pek çok ana bilgisayar başına sertifika satmanın iyi olmadığını düşündüğü için bunu yapmaz.

Bazıları, kendi başına doğmuş beyin bağı düzenleyici şartlarına ya da dış tarafların şartlarına bağlı olmayacak.

Ulusal bir araştırma ağı için ara CA'lar imzalayan büyük bir telekom sağlayıcısının sertifika zinciri ile ilgili olarak çok üzücü bir hikaye var. Bu henüz kulağa çok üzülmese de, üzüntü, söz konusu telekomünikasyon sağlayıcısının sağladığı cesur bir adam olarak sertifikayı ve Mozilla Firefox’a dahil olan güven zincirini almaya başladı - 4 yıl süren tartışmalar, incelemeler, yanlış anlaşılmalar ve hatta daha fazla tartışma nihayet dahil edildi.

Satın alabileceğiniz şey, çoğunlukla CA'nın arayüzlerini kullanıp kullanmayacağınız yeni sertifikalar oluşturmak için kullanacağınız bazı “Yönetilen Servisler”. Tabii ki, bu genellikle önceden çok paraya mal olacak ve muhtemelen verilen her sertifika için ek bir ücret ödeyeceksiniz.

Neyi düşündüğünüzle ilgili sorun, bir birincil CA'nın (Verisign, Thawte, vb.) Bir alt CA'yı (aradığınızı) yalnızca belirli bir etki alanı için sertifika ataması veya geçerli olması için kısıtlamamasının mümkün olmamasıdır. . Geçerli bir köke zincirleyen bir alt CA, tüm Internet için sertifika oluşturabilir. Bu yüzden kendiniz yaptığınız kök CA'dan başka kimseden bir Subordinate CA sertifikası alamıyorsunuz.

Aradığınızı, büyük sertifika satıcılarından birinden bir wildcart sertifikası olmadan yapamazsınız. Bunlar, alt CA sertifikalarının aksine satın alınabilir.