ssl - 自定义 SSL 证书颁发机构？

Question

我可以将自定义 SSL 证书颁发机构添加到我的浏览器吗？

我们使用很多内部 url，例如

http://www.somproject.somebranch/用于在各个分支上工作

如果有一些服务可以添加到我的浏览器/操作系统中，让我可以为非真实域使用单个证书(或轻松生成证书)，那就太好了。这是否存在，或者这只是一个#firstworldproblem？

Answer 1

自定义 CA 的要点是您必须自己创建它(尤其是作为 CA 证书私钥的持有者)。将任何可用的 CA 证书导入您的浏览器意味着任何拥有其私钥的人都可以颁发您的浏览器可识别的证书(通常适用于任何站点，除非有特定的政策)。

有一些工具可以管理 CA:

• > OpenSSL's CA.pl : 这是OpenSSL自带的脚本。它非常基本但可高度配置(通过 openssl.cnf)。
• > TinyCA是 OpenSSL 的前端，可帮助您使用 GUI 管理证书。它比 CA.pl 更易于管理。
• > OSX comes with its own interface in Keychain.app .
• this Security.SE question 中还列出了许多其他工具: EJBCA、OpenCA 和 XCA。

一般来说，大部分艰苦的工作都是管理部分(与其说是系统管理员，不如说是文书工作)。如果它只适合您，EJBCA 或 OpenCA 可能有点矫枉过正。