Apakah mungkin untuk membatasi penggunaan sertifikat root ke domain

Pelanggan saya menggunakan sertifikat yang ditandatangani sendiri agar aplikasi dapat berfungsi. Agar dapat bekerja, saya harus menginstal sertifikat root yang mereka gunakan untuk menandatangani sertifikat.

Apakah mungkin untuk mengonfigurasi sertifikat root sehingga hanya valid ke satu domain?

Sebagai aturan praktis:

Tidak , tersirat dalam mempercayai sertifikat CA pelanggan adalah kepercayaan pada setiap sertifikat yang ditandatangani oleh CA.

Saya tidak tahu ada aplikasi / perpustakaan yang memiliki opsi mudah yang memungkinkan Anda sebagai pengguna akhir untuk memilih bahwa Anda akan mempercayai pelanggan Anda atau sertifikat CA lainnya hanya untuk domain (sub-) tertentu yaitu hanya untuk *. example.com dan * .example.org dan tidak ada yang lain.

Mozilla memiliki keprihatinan yang sama tentang CA yang disponsori pemerintah saat ini sebagai titik perhatian terbuka dan misalnya Chrome memiliki pemeriksaan tambahan bawaan untuk mengakses situs Google, yang merupakan cara sertifikat * .google.com nakal dan kompromi dari Diginotar CA menjadi publik. .

Tetapi bahkan jika Anda tidak mempercayai CA, Anda masih dapat mengimpor / mempercayai sertifikat server tertentu yang ditandatangani oleh CA itu, yang akan mencegah peringatan SSL untuk nama host dalam sertifikat itu. Itu seharusnya membuat aplikasi Anda berfungsi tanpa kesalahan atau keluhan.

Pengecualian:

Opsi yang sangat jarang digunakan untuk standar XI PKI X.509v3 adalah ekstensi Name Constraints , yang memungkinkan sertifikat CA memuat daftar putih dan hitam pola nama domain yang diizinkan untuk menerbitkan sertifikat.

Anda mungkin beruntung dan pelanggan Anda menahan diri ketika mereka menyiapkan infrastruktur PKI mereka dan memasukkan kendala Nama itu dalam sertifikat CA mereka. Kemudian Anda dapat mengimpor sertifikat CA mereka secara langsung dan tahu bahwa sertifikat itu hanya dapat memvalidasi rentang nama domain yang terbatas.

@CryptoGuy punya jawaban yang cukup bagus di sini, tapi saya ingin mengembangkannya.

Mengutip:

Anda dapat membatasi CA pihak ke-3 untuk mempercayai sertifikat (dari CA itu) yang dikeluarkan untuk daftar nama yang Anda inginkan. Bahkan jika CA pihak ketiga tidak memiliki ekstensi Name Constraints, dimungkinkan untuk menerapkannya dengan menggunakan server CA internal Anda sendiri melalui sertifikasi silang. Caranya adalah Anda menandatangani CA pihak ketiga dengan menggunakan CA internal Anda.

daun sertifikat SSL -> lintas sertifikat -> sertifikat CA Anda -> sertifikat root internal Anda.

Dan inilah cara Anda membuatnya (menggunakan CA command line OpenSSL)

Buat CA sederhana

openssl req -new -x509 -days 3650 -newkey rsa:2048 -sha256 -out root-ca.crt -keyout root-ca.key -subj "/CN=My Root CA"

Anda dapat melewati pembuatan CA perantara

Buat permintaan CA perantara, dengan Kendala Nama.

openssl req -new -days 3650 -newkey rsa:2048 -out domain-ca.req -sha256 -keyout domain-ca.key -config ossl_domain_com.cfg

Dengan ini dalam ossl_domain_com.cfgfile:

[ req ]
prompt=no
distinguished_name=req_distinguished_name
req_extensions=domain_ca

[ req_distinguished_name ]
CN=somedomain.com trust CA

[ domain_ca ]
basicConstraints=critical,CA:true,pathlen:1
nameConstraints=critical,permitted;DNS:.somedomain.com

Kemudian, tandatangani CA perantara tersebut dengan CA Anda.

openssl x509 -req -in domain-ca.req -CA root-ca.crt -CAkey root-ca.key -sha256 -set_serial 1 -out domain-ca.crt -extensions domain_ca -extfile ossl_domain_com.cfg

Jika Anda melewatkan membuat perantara, gunakan CA root Anda untuk masuk

Sekarang, tandatangani kembali CA domain asli di bawah otoritas Anda, menggunakan sertifikat mereka. Anda dapat menambahkan ekstensi CA di sini.

openssl x509 -in third_party_ca.crt -CA domain-ca.crt -CAkey domain-ca.key -set_serial 47 -sha256 -extensions domain_ca -extfile ossl_domain_com.cfg -out domain-cross-ca.crt

Anda mungkin perlu menggunakan -x509-to-reqargumen untuk membuat permintaan, yang Anda tandatangani dengan cara yang persis sama dengan perantara di atas.

Sekarang, tambahkan root CA Anda, intermediate CA, dan domain-cross-ca ke database trust browser Anda.