Kök sertifika kullanımını bir etki alanı ile sınırlandırmak mümkün mü

Müşterim, bir uygulamanın çalışması için kendinden imzalı bir sertifika kullanıyor. Çalışabilmek için, sertifikayı imzalamak için kullandıkları kök sertifikayı yüklemem gerekiyor.

Bir kök sertifikasını yalnızca bir etki alanına doğrulayacak şekilde yapılandırmak mümkün mü?

Kural olarak:

Hayır , müşterinin CA sertifikasına güvenmek, söz konusu CA tarafından imzalanan her sertifikanın güvenidir.

Son kullanıcı olarak müşterilerinize veya herhangi bir diğer CA sertifikasına yalnızca belirli (alt) alanlar için, yani yalnızca * için güveneceğinizi seçmenizi sağlayan kolay bir seçeneğe sahip uygulamaları / kütüphaneleri bilmiyorum. example.com ve * .example.org ve başka hiçbir şey.

Mozilla, şu anda güvenilir olan devlet destekli CA'lar hakkında açık bir ilgi noktası olarak benzer bir endişeye sahiptir ve örneğin, Chrome , Google sitelerine erişmek için yerleşik olarak yapılan ek denetimlere sahiptir; bu, * .google.com sertifikasının ve Diginotar CA'nın uzlaşmasının nasıl halka açık hale getirileceğini .

Ancak, CA'ya güvenmese bile, söz konusu CA tarafından imzalanan belirli bir sunucu sertifikasını içe aktarabilir / güvenebilirsiniz; bu, söz konusu sertifikadaki ana bilgisayar adları için SSL uyarılarını önler. Bu, uygulamanızın hatasız veya şikayetsiz çalışmasını sağlamalıdır.

İstisnalar:

X.509v3 PKI standardının çok az kullanılmış bir seçeneği, bir CA sertifikasının, sertifika verilmesine izin verilen alan adı desenlerinin beyaz ve kara listelerini içermesine izin veren Ad Kısıtlamaları uzantısıdır.

Şanslı olabilirsiniz ve müşteriniz PKI altyapısını oluşturduklarında ve bu Ad kısıtlamasını CA sertifikalarına eklediklerinde kendilerini sınırlamış olabilirler. Ardından, CA sertifikalarını doğrudan içe aktarabilir ve yalnızca sınırlı sayıda etki alanı adını doğrulayabildiğini bilirsiniz.

@CryptoGuy'un burada oldukça iyi bir cevabı vardı, fakat üzerinde genişlemek istedim.

Kelimeleri ifade etmek:

3. taraf CA'yı, istediğiniz ad listesine verilen sertifikalara (o CA'dan) güvenmesi için kısıtlayabilirsiniz. 3. parti CA'nın Adı Sınırlamaları uzantısı olmasa bile, kendi dahili CA sunucunuzu çapraz sertifikalandırma yoluyla kullanarak uygulamak mümkündür. İşin püf noktası, dahili CA'nızı kullanarak 3. taraf CA'yı imzalamanızdır.

yaprak SSL sertifikası -> çapraz sertifika -> CA sertifikanız -> dahili kök sertifikanız.

Ve işte bu işlemi nasıl yapıyorsunuz (OpenSSL komut satırını CA kullanarak)

Basit bir CA oluşturun

openssl req -new -x509 -days 3650 -newkey rsa:2048 -sha256 -out root-ca.crt -keyout root-ca.key -subj "/CN=My Root CA"

Bir ara CA oluşturmayı atlayabilirsiniz

Ad Kısıtlamaları ile bir ara CA isteği oluşturun.

openssl req -new -days 3650 -newkey rsa:2048 -out domain-ca.req -sha256 -keyout domain-ca.key -config ossl_domain_com.cfg

Bununla birlikte ossl_domain_com.cfgdosyada:

[ req ]
prompt=no
distinguished_name=req_distinguished_name
req_extensions=domain_ca

[ req_distinguished_name ]
CN=somedomain.com trust CA

[ domain_ca ]
basicConstraints=critical,CA:true,pathlen:1
nameConstraints=critical,permitted;DNS:.somedomain.com

Ardından, Intermediate domain CA'yı CA'nızla işaretleyin.

openssl x509 -req -in domain-ca.req -CA root-ca.crt -CAkey root-ca.key -sha256 -set_serial 1 -out domain-ca.crt -extensions domain_ca -extfile ossl_domain_com.cfg

Bir ara oluşturmayı atladıysanız, imzalamak için kök CA'nızı kullanın.

Şimdi, orijinal alan adının CA'sını, sertifikasını kullanarak kendi yetkiniz altında tekrar imzalayın. CA uzantılarını buraya ekleyebilirsiniz.

openssl x509 -in third_party_ca.crt -CA domain-ca.crt -CAkey domain-ca.key -set_serial 47 -sha256 -extensions domain_ca -extfile ossl_domain_com.cfg -out domain-cross-ca.crt

-x509-to-reqYukarıdaki aracı ile aynı şekilde imzalayacağınız bir istek oluşturmak için argümanı kullanmanız gerekebilir .

Şimdi, kök CA'nızı, orta CA'yı ve domain-ca'yı tarayıcınızın güven veritabanına ekleyin.