☰

Как создать частные сертификаты безопасности, которые будут вести себя как официальные?

tag-icon • tag-icon ssl certificate ssl-certificate openssl
Как создать частные сертификаты безопасности, которые будут вести себя как официальные?

Я пытаюсь получить действительную защищенную среду для HTTP-коммуникаций, чтобы они вели себя как обычные. Я делаю это для ограниченной группы пользователей.
Есть аппаратный сервер, на котором запущена веб-служба (nginx). OpenSSL установлен на этой машине, и я также использую его в качестве CA. Я создал корневой сертификат CA и подписал сертификат для веб-службы, используя его. Затем я предоставил корневой сертификат CAдоверенный пользователь(другой ПК, контролируемый мной) и он был импортирован в Firefox как доверенный орган.
Почти все работает отлично (сервис HTTPS доступен ипредупреждениестраница не отображается), но я получаюсинийстатус (первый элемент в адресной строке, перед https://... ) сервиса, указывающий:

Youy are connected to
example.com
which is run by
(unknown)
Verified by: MyCA Company

Другие всемирно известные сайты HTTPS, такие как addons.mozilla.com, например, показываютзеленыйстатус и у них нет этого(неизвестный)часть данных. Там есть название компании и местонахождение.

Возможно ли создать частную защищенную среду, которая будет вести себя как обычная и будетзеленый? Если да, то что нужно сделать, чтобы это получить (на стороне клиента? на стороне сервера?) ?

В качестве побочного вопроса: где я могу узнать о PKI, SSL и всем таком?от 0 до продвинутого? или может есть какие-то хорошие книги по этой теме?

Заранее благодарю за любую помощь и ответы.

решение1

Вы не можете — это, по сути, причина сертификатов EV (тех, которые заставляют адресную строку зеленеть). Вам фактически придется патчить свой браузер или взломать какой-нибудь закрытый ключ EV-CA.

Я нашел тему наСписок рассылки OpenSSLэто объясняет проблему; вы также можете посмотреть наСтатья в Википедиио том, что такое вся эта расширенная проверка.

Что касается вашего побочного вопроса: вся эта штука с PKI и SSL ужасно сложна. Я нашелстатьяэто объясняет некоторые теоретические основы построения собственного PKI, но это далеко не хороший учебник "от нуля до продвинутого". Затем, конечно, естьRFC5280, но это делает для некоторыхоченьтяжелое чтиво. Но по крайней мере это официальный стандарт, если он того стоит.

Связанный контент