È possibile limitare l'uso di un certificato radice a un dominio

Il mio cliente utilizza un certificato autofirmato per far funzionare un'applicazione. Per poter funzionare, devo installare il certificato radice che hanno usato per firmare il certificato.

È possibile configurare un certificato radice in modo che sia valido solo per un dominio?

Come regola generale:

No , implicito nella fiducia del certificato CA del cliente è la fiducia in ogni certificato firmato da quella CA.

Non conosco alcuna applicazione / libreria che abbia un'opzione semplice che consente all'utente finale di selezionare la fiducia dei propri clienti o di qualsiasi altro certificato CA solo per determinati (sotto) domini, vale a dire solo per *. esempio.com e * .example.org e nient'altro.

Mozilla ha una preoccupazione simile per le CA sponsorizzate dal governo attualmente fidate come punto di attenzione aperto e ad esempio Chrome ha controlli extra integrati per l'accesso ai siti di Google, ed è così che il certificato canaglia * .google.com e il compromesso della CA Diginotar sono diventati pubblici .

Ma anche se non ti fidi della CA, puoi comunque importare / fidarti di un certificato server specifico firmato da quella CA, che impedirà gli avvisi SSL per i nomi host in quel certificato. Ciò dovrebbe far funzionare l'applicazione senza errori o reclami.

eccezioni:

Un'opzione molto sottoutilizzata dello standard PKI X.509v3 è l' estensione Nome Vincoli , che consente a un certificato CA di contenere liste bianche e nere di modelli di nomi di dominio per i quali è autorizzato a rilasciare certificati.

Potresti essere fortunato e il tuo cliente si è limitato a configurare la propria infrastruttura PKI e ha incluso quel vincolo Nome nel proprio certificato CA. Quindi è possibile importare direttamente il loro certificato CA e sapere che può convalidare solo un intervallo limitato di nomi di dominio.

@CryptoGuy ha avuto una risposta abbastanza buona qui, ma volevo ampliarla.

Per parafrasare:

È possibile limitare l'autorità di certificazione di terze parti a fidarsi dei certificati (da tale autorità di certificazione) rilasciati a un elenco di nomi desiderato. Anche se la CA di terze parti non ha l'estensione dei vincoli di nome, è possibile applicarli utilizzando il proprio server CA interno tramite certificazione incrociata. Il trucco è che firmi una CA di terze parti usando la tua CA interna.

certificato SSL foglia -> certificato incrociato -> il certificato CA -> il certificato radice interno.

Ed ecco come farlo funzionare (usando la CA della riga di comando OpenSSL)

Crea una CA semplice

openssl req -new -x509 -days 3650 -newkey rsa:2048 -sha256 -out root-ca.crt -keyout root-ca.key -subj "/CN=My Root CA"

È possibile saltare la creazione di una CA intermedia

Creare una richiesta CA intermedia, con vincoli di nome.

openssl req -new -days 3650 -newkey rsa:2048 -out domain-ca.req -sha256 -keyout domain-ca.key -config ossl_domain_com.cfg

Con questo nel ossl_domain_com.cfgfile:

[ req ]
prompt=no
distinguished_name=req_distinguished_name
req_extensions=domain_ca

[ req_distinguished_name ]
CN=somedomain.com trust CA

[ domain_ca ]
basicConstraints=critical,CA:true,pathlen:1
nameConstraints=critical,permitted;DNS:.somedomain.com

Quindi, firmare quella CA del dominio intermedio con la propria CA.

openssl x509 -req -in domain-ca.req -CA root-ca.crt -CAkey root-ca.key -sha256 -set_serial 1 -out domain-ca.crt -extensions domain_ca -extfile ossl_domain_com.cfg

Se hai saltato la creazione dell'intermedio, usa la tua CA principale per firmare

Ora firma nuovamente l'autorità di certificazione del dominio originale sotto la tua autorità, utilizzando il loro certificato. È possibile aggiungere le estensioni CA qui.

openssl x509 -in third_party_ca.crt -CA domain-ca.crt -CAkey domain-ca.key -set_serial 47 -sha256 -extensions domain_ca -extfile ossl_domain_com.cfg -out domain-cross-ca.crt

Potrebbe essere necessario utilizzare l' -x509-to-reqargomento per creare una richiesta, che firmeresti esattamente allo stesso modo dell'intermedio sopra.

Ora aggiungi la tua CA principale, la CA intermedia e il dominio incrociato al database di fiducia del tuo browser.