自定义 SSL 证书颁发机构？

Question

是否有可以添加到浏览器的自定义 SSL 证书颁发机构？

我们使用很多内部网址，例如

http://www.somproject.somebranch/ 用于在各个分支上工作

如果有一些服务可以添加到我的浏览器/操作系统中，这将让我对非真实域使用单个证书（或轻松生成证书），那就太棒了。这是否存在，或者这只是#firstworldproblem？

Answer 1

自定义 CA 的关键在于您必须自己创建它（尤其是作为 CA 证书私钥的持有者）。将任何可用的 CA 证书导入您的浏览器意味着任何拥有其私钥的人都可以颁发您的浏览器识别的证书（通常适用于任何网站，除非有特定的政策）。

有一些工具可以管理 CA：

• OpenSSL's CA.pl：这是 OpenSSL 附带的脚本。它非常基本但高度可配置（通过openssl.cnf）。
• TinyCA 是 OpenSSL 的前端，可帮助您使用 GUI 管理证书。它比CA.pl 更易于管理。
• OSX comes with its own interface in Keychain.app.
• this Security.SE question 中还列出了许多其他工具：EJBCA、OpenCA 和 XCA。

一般来说，大部分艰苦的工作是管理部分（不是系统管理员，而是文书工作）。如果它只适合你，EJBCA 或 OpenCA 可能有点过头了。