Praz
2016-02-04 18:46:16 UTC
Ich habe lokal ein Stammzertifizierungsstellenzertifikat erstellt. Ich habe das CA-Zertifikat zum Signieren des IA-Zertifikats und das IA-Zertifikat zum Signieren des Serverzertifikats verwendet. Wenn ich versuche, auf den lokalen Server zuzugreifen, der das Serverzertifikat verwendet, wird eine Sicherheitsrisikowarnung angezeigt. Gibt es eine Möglichkeit, die Warnung nicht zu geben?
Grundsätzlich möchte ich nur wissen, ob es möglich ist, ein selbstsigniertes Zertifikat als vertrauenswürdig zu kennzeichnen.
Ein selbstsigniertes Zertifikat ist so, als würde man in Ihrem Haus ein goldfarbenes Abzeichen herstellen und es dann den Leuten zeigen, die sagen, Sie seien ein Polizist. Vielleicht können Sie diesen Trick mit Mitgliedern Ihrer Familie machen, die akzeptieren, dass Sie verantwortlich sind, aber wenn Sie ein echter, öffentlicher Strafverfolgungsbeamter sein wollen, müssen Sie von einer zentralen Behörde ** jedem vertraut werden ** sonst Trusts, wie die Regierung Ihrer Stadt oder Ihres Staates. Andernfalls geben Sie sich nur als Polizist aus, und die Leute sollten Ihnen misstrauen.
-1
'Selbstsigniert' ist orthogonal zu 'vertrauenswürdig'. Alle Zertifikate in meinem Trust Store sind selbstsigniert. Was ist mit Ihren? Die Frage lautet also einfach: "Wie kann ich meinem Browser sagen, dass er einem zuvor nicht vertrauenswürdigen Zertifikat vertrauen soll?".
Aus diesem Grund akzeptieren wir keine selbstsignierten Zertifikate:> Bitte entschuldigen Sie Juans Abwesenheit von der Schule gestern. >> -Epsteins Mutter. (Wenn Sie mit dem TV-Programm * Welcome Back, Kotter * nicht vertraut sind, erhalten Sie möglicherweise keine Referenz.)
@ToddWilcox sehr nette, auf den Punkt gebrachte Erklärung. Ich könnte am Ende diesen verwenden. \ * yoink \ *
@kubanczyk - Er könnte sein Serverzertifikat vom Browser als vertrauenswürdig erachten lassen, indem er es direkt in den Vertrauensspeicher legt, das IA-Zertifikat einfügt oder das CA-Zertifikat einfügt. Normalerweise möchte er die CA einfügen, aber das Der Trust Store muss nicht nur aus selbstsignierten Zertifikaten bestehen. Beim Cross-Signing können Zertifikate sowohl selbstsignierte Roots als auch von einem anderen Zertifikat signiert sein.
@ToddWilcox Das ist das Gleiche, was die "zentrale Behörde" tut, außer dass wir alle den Autoren vertrauen, anstatt nur einer engen Familie. Anstelle eines Aufkleberabzeichens stellen Sie sich das folgendermaßen vor: Es entspricht dem coolsten Kind auf einer Party, das Sie einlädt und allen sagt, dass er cool ist, weil Sie ihn dafür bezahlt haben. Es gibt keine wirkliche Autorität, kein Vertrauen usw. außer dem Namen des coolsten Kindes, das zusammen mit wenigen anderen coolen Kindern auf dem monolithischen Granitfelsen gemeißelt wurde, der die SSL-Authentifizierung darstellt. Comodo? Komm schon ... erinnerst du dich, wie sie in den 90ern waren? Sie sind immer noch: nervige unerbittliche SSL-Telemarketer-Spammer. Kein vertrauenswürdiger;)
@ToddWilcox Eine grobe Analogie, die impliziert, dass selbstsignierte Zertifikate von Natur aus rechtswidrig oder unehrlich sind. Das gibt es nicht. Ein selbstsigniertes Zertifikat ist nichts anderes als das, was es ist. Ein Zertifikat, das von jemandem signiert wurde, der nicht das Vertrauen des Betriebssystemherstellers, des Browserherstellers oder des App-Herstellers gewonnen hat.
Randnotiz: Wenn Sie versuchen, ein gültiges Zertifikat für eine Public Domain zu erhalten, können Sie letsencrypt verwenden. Sie befinden sich endlich in der öffentlichen Beta. Ich habe diese letzte Nacht bei der Arbeit am Server eines Clients entdeckt und in wenigen Minuten 4-5 Domains mit Zertifikaten eingerichtet. Es ist kostenlos und Open Source - https://letsencrypt.org/
@ToddWilcox Das wäre eine großartige Antwort.
Sie können auch den CA-Teil überspringen, ein selbstsigniertes Serverzertifikat erstellen und es an alle Browser verteilen, die ihm vertrauen sollten.Dies beseitigt tatsächlich viele Komplikationen und implizites Vertrauen (es lässt sich einfach nicht sehr gut skalieren).