自定义SSL证书颁发机构？

Question

是否有可以添加到我的浏览器的自定义SSL证书颁发机构？

我们使用很多内部URL像

http://www.somproject.somebranch/对个别分行

工作

这将是冷静，如果有一些服务，我可以添加到我的浏览器/ OS这将让我用一个单一的证书（或轻松生成证书）的非真实域。这是存在的，还是仅仅是#firstworldproblem？

Answer 1

自定义CA的要点是您必须自己创建它（特别是成为CA证书的专用密钥的持有者）。将任何可用的CA证书导入浏览器意味着任何拥有私钥的人都可以颁发由浏览器识别的证书（通常用于任何站点，除非有特定的策略）。

有来管理CA一些工具：

• OpenSSL's CA.pl：它是带有OpenSSL的脚本。这是非常基本的但高度可配置的（通过openssl.cnf）。
• TinyCA是OpenSSL的前端，可帮助您使用GUI管理证书。这比CA.pl更容易管理。
• OSX comes with its own interface in Keychain.app。
• this Security.SE question中列出了许多其他工具：EJBCA，OpenCA和XCA。

大部分的努力工作是管理部分（不是很多系统管理员，而是文书工作）。如果仅仅是为了你，EJBCA或OpenCA可能会过度杀伤。