Как создать свой центр сертификации ssl и заставить ВСЕ браузеры ему доверять?

Question

[slava kk]

Есть же центры сертификации типа comodo, digicert, lets encrypt и т.д Как создать свой CA, чтоб все браузеры ему доверяли как например comodo?

Comments

[Александр Скляров]

Это очень дорого. Какова цель если не секрет?

Answer 1

[АртемЪ]

Как создать свой центр сертификации ssl и заставить ВСЕ браузеры ему доверять?

Для этого всего лишь нужны деньги и репутация.
Поскольку репутация в последнее время это товар, то нужны исключительно деньги.

Answer 2

[CityCat4]

Если есть много-(много) денег - легко. Пишете основным производителям браузеров - вот, я Иван Петров, хочу быть корневым УЦ. Давайте мне ваши требования, деньги на все есть :)
Вам дают требования, Вы их выполняете.
ПРОФИТ!

ЗЫ: Надеюсь, Вы уже поняли, что это был просто стеб. Для обычного человека и даже для обычной организации нереально попасть в списки доверенных УЦ в браузерах. От слова совсем.

Answer 3

[Rsa97]

Если нужен глобальный CA, то начните, например, с требований Mozilla к корневым центрам.
Но это весьма дорого. Вам придётся найти помещение с защитой уровня банковского хранилища, развернуть защищённую же систему, сертифицировать всё это, гарантировать возмещение ущерба в случае компрометации сертификатов по вашей вине и т.п.

Comments

[slava kk]

Сертификаты эти я планирую использовать только на своих сайтах

[Rsa97]

slava kk, Без разницы, если хотите включить свой корневой сертификат в браузеры, то требования одни и те же.
Если только внутри организации, то, естественно, всё гораздо проще. Поднимаете внутренний центр сертификатов, раздаёте его корневой сертификат через домен или другое ПО управления инфраструктурой и выдаёте сертификаты через свой центр.

[CityCat4]

slava kk, Это Вы планируете. Завтра троян тырит у Вас корневой ключ, злоумышленник выпускает пачку сертификатов от имени M$, гугла, яббла - и ворует бабло у людей - а кто будет отвечать?
Если Вам нужен УЦ - сделать его никто не мешает. Но все желающие им пользоваться будут обязаны сами его туда поставить (за исключением уродца под названием WinMobile - туда поставить нельзя. Кстати, в андроиде тоже проблемно).

Answer 4

[Юрий Самойлов]

Добавить сертификат своего центра сертификации в доверенные корневые сертификаты операционной системы, которые распостраняются вместе с операционными системами. Т.е. нужно отправить публичный ключ своего корневого сертификата для включения в список доверенных компаниям Mozilla, Microsoft, Google и Apple.
Включение вашего сертификата в список доверенных теоретически возможно, только если вам доверяют (вы представляете широко известную компанию с безупречной репутацией).