Dobbiamo utilizzare SSL sulla nostra rete interna per alcune applicazioni sensibili e devo sapere se esiste una differenza tra un certificato autofirmato e uno firmato da una CA di Windows Server che configuriamo? Dobbiamo installare una CA?
Dobbiamo utilizzare SSL sulla nostra rete interna per alcune applicazioni sensibili e devo sapere se esiste una differenza tra un certificato autofirmato e uno firmato da una CA di Windows Server che configuriamo? Dobbiamo installare una CA?
Risposte:
A breve termine per un singolo servizio non c'è molta differenza.
Se decidi di dover configurare più servizi che utilizzano SSL, potresti scoprire che configurare una CA sarebbe stata una scelta migliore.
Se si configura una CA, si dovrebbe essere in grado di fidare i propri clienti della CA e quindi di eventuali certificati che firma. Una volta che la CA è attiva, aggiungere ulteriori servizi è facile. Con un sacco di certificati autofirmati un utente dovrà accettare ogni certificato separatamente.
Stai dicendo che hai una CA di Windows? Se ne hai già uno, lo userei. Se non ne hai già uno, sarei tentato di utilizzare un sistema leggero come TinyCA che potresti eseguire su una VM o su un Linux su un disco USB.
Un certificato può contenere informazioni sugli usi per i quali è autorizzato, ad esempio se può essere utilizzato per la firma di altri certificati a chiave pubblica o se si tratta di un certificato CA. Alcune implementazioni possono verificare quel tipo di informazioni e rifiutare di onorare un certificato per determinati scopi senza le giuste informazioni
Esempi di queste informazioni extra includono:
Se stai creando il tuo certificato autofirmato e vuoi usarlo come un certificato CA e vuoi aumentare le tue possibilità di averlo accettato da qualsiasi software con cui lo utilizzerai, probabilmente dovresti assicurarti contiene valori correttamente configurati per le due estensioni che ho menzionato sopra.
Se si omettono queste due estensioni, molte implementazioni potrebbero ancora onorarlo come certificato CA, ma alcune implementazioni potrebbero non esserlo.
Se vuoi firmare i tuoi certificati, avrai bisogno di una CA (sia tua che ufficiale). Tuttavia, non è necessario inviare la propria CA agli utenti a meno che non si pianifichi di firmare più certificati e si desideri che solo gli utenti ne accettino uno (ad esempio, se installano la propria CA, verranno accettati tutti i certificati emessi). Potrebbe essere meglio spingere la CA a lungo termine.
Non sono la stessa cosa? Un certificato rilasciato dalla propria CA interna è "autofirmato", il che significa che non è stato emesso da una CA esterna, giusto?