问题标签 [certificate-authority]

是否有可以添加到浏览器的自定义 SSL 证书颁发机构？

我们使用很多内部网址，例如

http://www.somproject.somebranch/用于在各个分支上工作

如果有一些服务可以添加到我的浏览器/操作系统中，这将让我对非真实域使用单个证书（或轻松生成证书），那就太酷了。这是否存在，或者这只是#firstworldproblem？

我正在为多个 SSL 连接使用自签名证书。但是，我有一个需要对证书进行 CA 身份验证的连接。

现在，如果我使用相同的自签名证书并创建证书颁发机构请求并导入我收到的内容，我现有的直接信任 SSL 连接是否需要更改？

证书 CA 验证后究竟会发生什么变化？

我正在尝试使用 SharpSvn 访问颠覆存储库。该存储库只能通过 https 获得，并且机器使用自己的私有证书颁发机构（不要担心这里的安全性，我信任该机构）。

我有证书颁发机构的公共根证书，但是由于用户访问权限，我无法将证书安装到证书存储中。

如果我直接使用颠覆，我可以添加：

作为命令行对象或配置文件。

如何在 SharpSvn 中设置这些选项，以便我可以使用 cacert.crt 文件，这样当我尝试访问我的存储库时就不会出现“证书验证失败”，而且我不必忽略错误？

非常感谢

我已经创建了证书签名请求 (CSR)，现在我必须将其发送给证书颁发机构 (CA)，以便它可以对其进行签名并返回给我一个 .PFX 证书。我不想使用 makecert.exe 或 openssl.exe。证书也不应该是自签名的，我必须在 c# 中以编程方式做这件事。

我也不确定 CA 是否会创建 PFX 或者它只会签署 PFX。简而言之，我可以说我需要从此 CSR 生成 .PFX 证书，该证书不是自签名的，而是由 CA 使用 C#.Net 签名的。

我从此链接获得了 CSR 创建代码。

是否有任何真正的理由为您自己的电子邮件安全使用第 3 方证书颁发机构？

（意思是使用 S/MIME）

我发现我能够成为我自己的 CAuthority 并创建我自己的自签名根证书......并且它们安装在我的机器和移动设备上工作得很好。

是否有令人信服的理由使用第 3 方的付费证书而不是我自己控制的自行生成和签名的证书？

我一直在想——我最信任的人或实体对我经过验证的加密电子邮件的授权......是我！......为什么我会让一个额外的无法被我验证的实体进入那个通信链？- 如果我向谁发送电子邮件是其他认识我并相信是我的人..？我为什么要付钱给他们？

如果通信是在我的商业网站和不认识我并正在交易金钱的未知外部个人之间进行的，我可以理解......但对于个人电子邮件？在家人和知名朋友或同事之间？

还有什么我不明白的关于公私钥加密的东西，这使得拥有经过验证的第三者给我值得支付的证书？

我了解在处理网站上的商业或使用您的安全连接信任网站时需要 SSL 3rd 方验证。但是个人之间呢​​？看起来不一样……你个人认识的人更不一样。不？

我注意到在我的浏览器中，SSL 证书链总是至少有 2 个子 CA。总是这样吗？如果是真的，有人知道为什么吗？

我想知道为什么 SSL 证书的供应商总是说他们的证书支持 128/256 位 AES 加密？
我的意思是，对称加密是在网络浏览器和网络服务器之间发生的事情 - 与 SSL 证书本身无关（因为也没有关于对称加密的信息保存在证书中......）。

谁能给我解释一下，为什么这些公司用这个声明做广告？
仅仅是好的营销吗？还是背后有真正的功能原因？

示例见此处：
http ://www.startssl.com/
?app=39 https://www.symantec.com/theme.jsp?themeid=verisign-ssl-certificates&inid=vrsn_symc_ssl_Buy

我已经构建了一个 Java 应用程序，它向外部授权客户端公开 Web 服务。Web 服务使用带有证书身份验证的 WS-security。基本上我们充当自定义证书颁发机构 - 我们在我们的服务器上维护一个 java 信任库，并对其签名和添加客户的证书。目前我们有手动注册过程，要求 WS 客户端上传他们的证书签名请求。我们签署 CSR，使用命令行中的 keytool 将证书添加到我们的 java 信任库，然后将签署的证书与我们的 CA 证书一起返回给客户端。反过来，客户端使用他们的私钥签署他们的肥皂消息有效负载，并将签名证书嵌入到消息中。服务器端解密数字签名并验证嵌入式证书是否已签名并且在满足客户端请求之前与我们的信任库匹配。

虽然有点痛苦（由于体力劳动），但此设置运行良好。现在我意识到我们的根 CA 证书即将到期，因此我正在寻找设置维护策略。我应该如何更新自签名根 CA 证书？看起来我将不得不创建新的并替换原来的。这将影响所有必须接收新证书和导入新 CA 证书的客户端。这是正确的理解还是有更好的方法来处理这种情况？

如果重要的话，我已经使用 openssl 来生成原始密钥对。

我创建了自己的 CA 并签署了一个证书，以便在内部 HTTPS 网站上使用。我已将 CA 证书导入 IIS 机器上的受信任根证书颁发机构和中间证书颁发机构，并且站点证书绑定到端口 4433 上的站点。

这在 IE9 和 Firefox 上运行良好（即该站点是受信任的），但我仍然在 Chrome（版本 23.0.1271.91）中通过它获得一个带有红色分数的 HTTPS，表示该站点不受信任。

到目前为止，我遇到的所有内容都说将 CA 添加到 Trusted.... 但这在 Chrome 中似乎无济于事。

有任何想法吗？

我知道我可以选择使用 验证客户端--ssl-verify，但是如何指定要使用的 CA 链？我习惯于提供一个文件（比如 curl--cacert或 WEBrick 的:SSLCACertificateFile），所以我已经准备好了，但我似乎找不到关于如何将它传递给thin.