ルートCAを信頼せずに、Windowsで証明書を信頼することは可能ですか？

13

ルートCAを信頼されたルートCAとして信頼することなく、Windowsが証明書を信頼するようにすることは可能ですか？

私は次の証明書チェーンを持っていると言います、

Dept-Root-CA
Dept-Intermediate-1
Server-Certificate

Server-Certificateを信頼したいが、Dept-Root-CAを信頼したくない特定の操作についてServer-Certificateの証明書を信頼したいからといって、Dept-Root-CAが適切に保護されていることを信頼したいわけではありません。

ありがとう

windows ssl

— bkr
ソース

正確に何を信頼したいですか？HTTPS？または他の何か？そこているあなたは、ルートCAから何かを受け入れることなく、単一の証明書を受け入れるようにしたいことを示すの方法は、それはあなたがやっていることに依存します。（ただし、証明書を検証しようとすると、エラーが発生します）

— マークヘンダーソン

基本的にははい。カスタムコードの場合は問題になりませんが、これはADFS 2を使用しており、証明書の処理方法に関してできることは、サーバーがその証明書を信頼する方法を変更することだけです。他のケースもありますが、これは現在の例にすぎません。

— bkr

回答:

5

いいえ。証明書に「Issued by：xxx」と表示されている限り、チェーン全体でxxxも信頼する必要があります。自己署名証明書の場合は、信頼されたルートCAストアに置くことができます。また、同じエンティティに対して発行され、同じエンティティによって発行されているため、信頼できるはずです。

しかし、一般的に、証明書ベースのセキュリティの目的全体を完全に回避することは、実行可能または明白ではありません。

— ライアン・リース
ソース

5

それが怖かった。私はそれを回避とは呼びません。別の組織グループのマシンと通信するために安全なチャネルが必要だからといって、そのCAを信頼したいわけではありません。

— -bkr

正しい...しかし、CAはその証明書に署名し、そのCA証明書がなければ相手は証明書を変更し続けることができます。

— SpacemanSpiff

6

あなたが言っていることを理解しているかどうかはわかりません。証明書を明示的に信頼したい。変更された場合、明示的に再度信頼する必要があります。基本的に、Firefoxにあるような証明書信頼のモデルが必要です。Firefoxでは、既存の信頼できるCAの下で証明書が有効でない場合、とにかくそれを信頼することを選択できます。変更された場合、明示的に信頼されていないため新しい証明書を信頼することを選択する必要があります。

— -bkr

2

just keep changing their certificateリモートエンドが証明書を変更した場合、保存した証明書と一致しません。すべてのCAビジネスを無視する場合、それをSSHホストキーのように扱っているだけではありませんか。

— ゾレダチェ

5

現実的には、2年に1回しか変更しません。私が使用しているMS製品では、https経由で接続を保護する必要があります。信頼する必要があります。CAと署名しているため、CAを信頼する必要があります。特定のホスト名との限られたやり取りを許可するのではなく、サーバーへの証明書のなりすましを許可するため、CAは信頼しません。

— bkr

5

ええと... その信頼情報を別の方法でキャプチャできます。

残念ながら、少し複雑です。

独自のCAを作成し、CAで証明書に署名することにより、Dept-Intermediate-1（またはDept-Root-CA）の独自のクロス署名発行者を作成します。ドメイン制限を追加することもできます。「実際の」Dep-Intermediate-1が非アクティブ化されている場合（できれば）または不明な場合、Windowsは代わりに信頼チェーンを使用します。

私の他の回答はこちら：ルート証明書をドメインに制限する

これは、デジタル署名を使用してキーの所有権を表明する証明書の仕組みです。証明書とキーがサーバーに属していることを表明したいので、自分の権限で自分で署名してから、システムに信頼するように指示します。

CA階層のない証明書には、SSHキーが提供するものよりも多くのユーティリティがまだあります。その一部はそれらに対する制限です。キーの使用法、有効期限、失効情報、ドメイン制限など。他の部分は識別情報です。キーを所有するサーバー、発行者のID、適用されるCAポリシー、キーストレージ情報など。

— davenpcj
ソース

これは面白い。このプロセスを通して作業を試行し、それを機能させることができるかどうかを確認する時間を見つける必要があります。

— bkr

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。

Licensed under cc by-sa 3.0 with attribution required.