루트 CA를 신뢰하지 않고 Windows에서 인증서를 신뢰할 수 있습니까?

14

루트 CA를 신뢰할 수있는 루트 CA로 신뢰하지 않고 Windows가 인증서를 신뢰하도록 할 수 있습니까?

다음 인증서 체인이 있다고 가정 해보십시오.

Dept-Root-CA
Dept-Intermediate-1
Server-Certificate

Server-Certificate를 신뢰하고 싶지만 Dept-Root-CA를 신뢰하고 싶지 않습니다. 그러면 인증서에 서명 할 수 있고 서버가이를 신뢰하기 때문입니다. 특정 작업에 대해 Server-Certificate의 인증서를 기꺼이 신뢰한다고해서 Dept-Root-CA가 올바르게 보호되었다는 것을 기꺼이 신뢰한다는 의미는 아닙니다.

감사

windows  ssl 
— bkr
소스
정확히 무엇을 믿고 싶습니까? HTTPS? 아니면 다른 것? 이 있는 루트 CA에서 다른 것을 수용하지 않고 하나의 인증서를 수락 할 것을 표시의 방법은,하지만 당신이 무슨 일을하는지에 따라 달라집니다. (인증서를 확인하려고하면 여전히 오류가 발생합니다)
— Mark Henderson
본질적으로 그렇습니다. 사용자 지정 코드 인 경우 문제가되지 않지만 ADFS 2를 사용하고 있으며 인증서를 처리하는 방법과 관련하여 내가 할 수있는 유일한 작업은 서버가 해당 인증서를 신뢰하는 방식을 변경하는 것입니다. 다른 경우도 있지만 이것은 현재 예일뿐입니다.
— bkr

답변:

5

아니요. 인증서에 "발급자 : xxx"라고 표시되어 있으면 체인 전체에서 xxx를 신뢰해야합니다. 자체 서명 된 인증서 인 경우 신뢰할 수있는 루트 CA 저장소에 넣을 수 있으며 동일한 엔터티에 발급 및 발급되므로 신뢰할 수 있어야합니다.

그러나 인증서 기반 보안의 전체 목적을 완전히 회피하는 것이 일반적으로 불가능하거나 바람직하지 않습니다.

— 라이언 리 이스
소스
6
나는 그것을 두려워했다. 나는 그것을 우회라고 부르지 않을 것입니다. 다른 조직 그룹의 컴퓨터와 통신하기 위해 안전한 채널을 원한다고해서 CA를 신뢰하고 싶지는 않습니다.
— bkr
맞습니다. 그러나 CA는 해당 인증서에 서명했으며 해당 CA 인증서가 없으면 다른 쪽 끝은 인증서를 계속 변경할 수 있습니다.
— SpacemanSpiff
6
당신이 무슨 말을하는지 잘 모르겠습니다. 인증서를 명시 적으로 신뢰하고 싶습니다. 변경된 경우 명시 적으로 다시 신뢰하고 싶습니다. 기본적으로 Firefox와 같은 인증서 신뢰 모델을 원합니다. Firefox에서 기존의 신뢰할 수있는 CA에서 인증서가 유효하지 않은 경우 어쨌든 신뢰하도록 선택할 수 있습니다. 변경되는 경우 명시 적으로 신뢰되지 않았기 때문에 새 인증서를 신뢰하도록 선택해야합니다.
— bkr
3
just keep changing their certificate원격 끝이 인증서를 변경 한 경우 저장된 인증서와 일치하지 않습니다. 모든 CA 비즈니스를 무시하면 SSH 호스트 키처럼 취급하는 것이 아닙니다.
— Zoredache
6
실제로는 2 년에 한 번만 변경됩니다. 내가 사용하는 MS 제품은 https를 통해 연결을 보호해야합니다. 신뢰할 수 있어야합니다. CA와 서명했기 때문에 CA를 신뢰해야합니다. 특정 호스트 이름과의 제한된 상호 작용을 허용하는 대신 인증서를 내 서버에 스푸핑 할 수 있기 때문에 그렇게하고 싶지 않습니다.
— bkr
5

글쎄 .. 당신 은 다른 방법으로 그 신뢰 정보를 포착 할 수 있습니다.

불행히도 약간 복잡합니다.

자체 CA를 작성한 다음, CA에 인증서를 서명하여 도메인 제한을 추가하여 Dept-Intermediate-1 (또는 Dept-Root-CA)에 대한 자체 교차 서명 발행자를 작성하십시오. "실제"Dep-Intermediate-1이 비활성화되었거나 (바람직하게는) 알 수없는 경우, Windows는 대신 신뢰 체인을 사용합니다.

내 다른 답변보기 : 루트 인증서를 도메인으로 제한

이것은 디지털 서명을 사용하여 키 소유권 주장을 나타내는 인증서의 작동 방식입니다. 인증서와 키가 서버에 속해 있다고 주장하기 때문에 자신의 권한으로 서명 한 다음 시스템에 신뢰하도록 지시하십시오.

SSH 키가 제공하는 것보다 CA 계층 구조가 없는 인증서에는 여전히 많은 유틸리티가 있습니다. 그것의 일부는 그들에 대한 제한입니다. 키 사용, 유효 날짜, 해지 정보, 도메인 제한 등. 다른 부분은 식별 정보입니다. 키를 소유 한 서버, 발급자의 신원, CA 정책 시행, 키 저장소 정보 등

— davenpcj
소스
이것은 흥미 롭다. 이 과정을 통해 작업을 시도하고 작동시킬 수 있는지 확인해야 할 시간이 필요합니다.
— bkr
당사 사이트를 사용함과 동시에 당사의 쿠키 정책과 개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.