c# - 如何为 IIS 创建我自己的证书颁发机构？

Question

我厌倦了为我的客​​户购买 SSL 证书。我们平均每月花费数千美元。 有人可以告诉我如何启动我自己的证书颁发机构(不是自签名证书)吗？此 SSL 用于 IIS。

IIS 似乎可以发布自签名，而 OpenSSL 也可以做同样的事情，我不想要它除非它可以像 Verisign 和其他大公司一样提供完整的 SSL。

Answer 1

如果您想推出自己的证书颁发机构(假设是封闭的公司内部基础设施)，您首先(惊讶，惊喜)创建一个自签名证书，它将充当根 CA 证书。然后生成第一个子证书 - 中间 CA 证书。现在将根证书的私钥放在安全的地方 - 很可能多年都不需要它。中间 CA 证书用于颁发最终用户(或其他子 CA)证书。

如果您希望您的证书被标准浏览器和其他客户端软件识别，您需要找到一种方法让您的公共(public)根证书进入操作系统本身以及那些浏览器和客户端中的受信任根列表，如果它们有自己的证书存储。这是一个复杂的过程，对于每个操作系统和每个浏览器都不同。它涉及重复审计、遵守严格的程序等。

同样，如果您创建的证书仅供公司内部使用，您可以制作软件安装程序(或编写自定义脚本或应用程序)，将您的证书添加到每个用户计算机上的受信任根列表中。这可以在代码中完成，几乎没有问题，但用户必须 (a) 运行该脚本或程序，以及 (b) 确认添加证书。对于某些浏览器或其他客户端应用程序，该过程可能更复杂。

创建 CA 的过程是一个相当复杂的话题。我建议您在继续之前阅读一些有关 PKI 的书籍。以下是我推荐的好书:

1. Rsa Security's Official Guide to Cryptography
2. PKI: Implementing & Managing E-Security