Existe alguma maneira de criar meu próprio par de certificados? Não vejo por que precisaria de uma CA confiável para fins de email. Prefiro um certificado do que usar GPG ou algo parecido.
Responder1
Um par de chaves autoassinado? Um par de certificados? Você prefere usar um certificado do que GPG?
A maneira como você fez sua pergunta indica que você tem uma compreensão confusa de como os pares de chaves públicas/privadas e os certificados se relacionam entre si.
- Você geralmente não assina chaves (pelo menos não autoassina), você assina certificados.
- As chaves vêm em pares, os certificados não.
- Ter um certificado autoassinado meio que anula a vantagem que os certificados têm sobre os pares de chaves não certificados.
Permita-me explicar. Se você quiser usar um par de chaves pública/privada com e-mail, isso geralmente significa que você tem um ou ambos destes objetivos principais:
- Você deseja assinar alguns ou todos os seus e-mails com sua chave privada, para que seus correspondentes possam verificar se seus e-mails realmente vieram de você e não foram modificados em trânsito.
- Você deseja que seus correspondentes criptografem alguns ou todos os e-mails para você com sua chave pública, para que somente você possa ler o conteúdo desses e-mails.
Tudo bem, mas há um grande problema. Para que isso funcione, você precisa que seus correspondentes consigam obter sua chave pública e tenham certeza de que ela é realmenteseuchave pública, não de um impostor.
Uma maneira de resolver esse problema seria enviar sua chave pública para cada um de seus correspondentes por meio de um meio confiável e fazer com que eles instalassem essa chave pública em seu software de segurança de e-mail para uso com mensagens de/para você. Isso pode funcionar, mas exige muito trabalho de configuração por parte de você e de seus correspondentes, e esse trabalho de configuração deve ser feito com antecedência para cada correspondente antes que eles possam enviar e-mails para você com segurança.
Para tornar isso menos complicado, seria bom se houvesse uma maneira de publicar sua chave pública de forma que qualquer novo potencial correspondente de e-mail pudesse ter seu software recuperado automaticamente e ainda poder confiar que ela é sua.
Existem duas soluções bem conhecidas para esse problema de publicação de chaves de maneira confiável: a rede de confiança PGP/GPG e a infraestrutura de chave pública baseada em certificado (PKI).
Na web de confiança do GPG, você publica sua chave pública no sistema de web de confiança do GPG e faz com que outras pessoas que você conhece atestem sua autenticidade marcando sua chave como confiável (assinando-a com suas próprias chaves privadas). Então, quando alguém quiser enviar um e-mail para você com segurança, poderá recuperar sua chave pública do sistema web of trust, ver quem a atestou, decidir se deseja confiar nela e, em caso afirmativo, usá-la para criptografar as mensagens que está enviando para você.
Na PKI baseada em certificado, você tem uma CA bem conhecida que atesta a autenticidade de sua chave pública, agrupando sua chave pública com algumas informações de identificação sobre você e, em seguida, assinando esse pacote. Esse pacote assinado com suas informações de identidade mais sua chave pública é o seu certificado. Você pode publicar esse certificado em todo o mundo e até mesmo anexá-lo aos seus e-mails, e seus correspondentes, se confiarem nessa CA, podem aceitar a palavra da CA de que este certificado mostra a verdadeira chave pública da pessoa listada no certificado.
Portanto, se você criar um certificado autoassinado, estará criando algo que não é mais confiável do que uma chave pública simples, porque ninguém além de você está garantindo isso. Nem seus amigos (rede de confiança do GPG), nem uma agência pública (CA) de boa confiança. Você e seus correspondentes assumiriam a responsabilidade de garantir que sua chave pública seja realmente sua chave pública.
Então, se você está anulando o propósito de um certificado por meio da autoassinatura, por que se preocupar?