Esiste una ragione legittima per installarsi come CA radice?

È necessaria una CA personalizzata se si desidera utilizzare https nella propria intranet aziendale. Le CA di terze parti possono fornire solo certificati per domini pubblici. Non ti forniranno certificati per intranet.local o altri nomi host che sono solo instradati nella tua rete. Quindi, quando vuoi avere un certificato per la tua intranet o per l'interfaccia web dei tuoi server, devi aggiungere una CA personalizzata e firmarla tu stesso.

Potresti chiederti "Perché dovrei usare https sulla mia rete"? Attualmente esiste una tendenza ad implementare tutto come un'applicazione basata su browser. Ciò significa che sempre più processi vengono gestiti attraverso interfacce Web interne, comprese quelle sensibili. Ad esempio, la nostra azienda sta attualmente implementando un'applicazione intranet basata sul web per visualizzare le proprie buste paga (e speriamo solo la nostra). Ma nelle organizzazioni più grandi, la rete interna può diventare così grande e complessa da non poter più parlare di una LAN privata. L'intercettazione da parte di aggressori interni diventa una possibilità che non può essere allontanata, quindi la crittografia interna diventa una precauzione ragionevole.

I certificati sono una questione di fiducia.

Le CA dovrebbero essere affidabili e globali per poterle fare affidamento anche se non ci conosciamo.

Nei casi in cui comunichi con solo persone che conosci o .... te stesso, come quando sei responsabile di una rete di macchine diverse, puoi scegliere di affidarti a te stesso piuttosto che affidarti a una CA che di fatto , non lo sai.

Un esempio potrebbe essere quando vuoi creare tunnel tramite openVPN tra i computer che gestisci.

Intenzionalmente "spiare" su te stesso per scopi di debug, usando strumenti proxy come Fiddler o Charles per catturare il traffico https.

Questi strumenti vengono spesso utilizzati dagli sviluppatori di app mobili, tra gli altri, per eseguire il debug delle comunicazioni client-server. Una CA radice può essere generata e installata su un dispositivo mobile, un computer impostato come proxy http di quel dispositivo e tutto il traffico web, inclusi i dettagli di intestazioni, cookie, ecc. Verranno visualizzati per lo sviluppatore.

Questo è utile per comprendere le prestazioni delle richieste di rete, decidere se incolpare il client o il server per un bug o decodificare le API esistenti.

Un'altra risposta (aggiuntiva) è che le CA private hanno un dominio di sicurezza diverso dalle CA pubbliche.

Una CA pubblica certificherà le informazioni pubbliche: il fatto che il proprietario della corrispondenza della chiave privata abbia diritto pubblico in particolare al momento della richiesta. non si preoccupano veramente della segregazione interna e sicuramente non proteggono la risorsa interna (ad esempio, l'esempio fornito da @Philipp su nomi di host che non appartengono al DNS pubblico).

Una CA privata si occupa di proteggere le risorse interne: è progettata per avere un dominio più limitato di applicazione: funzionerà solo nel contesto della rete. Pertanto, può essere utilizzato per proteggere la comunicazione interna e fornire un'autenticazione interna che ha un significato scarso o nullo al di fuori della rete.

Inoltre, sono un po 'più sicuri da usare: puoi delegare l'accesso più facilmente con loro. Ad esempio, l'amministratore di una filiale locale potrebbe avere il diritto necessario di rilasciare certificati per i sistemi e le persone sotto il suo controllo senza dover delegare a lui l'intera identità aziendale.

Un altro motivo per cui un'organizzazione potrebbe voler installare un certificato di origine è per il filtro dei contenuti. Il mio liceo aveva un filtro dei contenuti appena prima del firewall, che aveva lo scopo di impedire agli studenti di accedere a vari tipi di contenuti. Tuttavia, non ha fatto un ottimo lavoro nel filtrare le connessioni HTTPS - a volte avrebbe bloccato in base all'indirizzo IP, ma tendeva a essere molto pesante su alcuni siti (bloccando l'intero indirizzo IP) e non filtrava affatto altri (dando pieno accesso non filtrato). Ad esempio, gli studenti hanno rapidamente capito che potevano accedere a Facebook se hanno digitato https://facebook.com . (Penso che il filtro dei contenuti fosse abbastanza vecchio da non supportare neanche l'indicazione del nome del server.)

Poco prima della mia laurea, hanno installato un nuovo filtro dei contenuti che forniva il filtraggio completo sul traffico HTTPS. Hanno installato una CA radice su tutti i computer e il firewall avrebbe creato certificati al volo per i siti Web HTTPS. Questo ha permesso il blocco basato su URL (piuttosto che il blocco basato su un gran numero di host più grossolani che avrebbero dovuto usare se non avessero falsificato i certificati), così per esempio ora potevano permettere agli studenti di guardare video di YouTube mentre bloccavano altri.

È interessante notare che il firewall aveva un'opzione per sniffare il traffico verso i siti bancari, insieme a un grosso avvertimento per lasciare l'opzione disabilitata per sicurezza. (Presumibilmente aveva una whitelist di domini finanziari.)

Se gestivo una rete aziendale e volevo tenere d'occhio ciò che i miei dipendenti stavano facendo, creerei un server certificato e configurerei tutti i computer client in modo che si fidino solo dei certificati da questo server. Avrei quindi questo problema con il server i suoi certificati per tutti i siti che i miei dipendenti potrebbero aver bisogno di usare. I miei dipendenti utilizzerebbero felicemente gmail, Facebook, ecc. Benché ignari del fatto che il certificato utilizzato dal loro browser non viene emesso da una CA esterna, bensì dal mio server CA della rete interna. Il loro completo traffico di rete non crittografato può quindi essere registrato e monitorato dal server proxy di rete.

Ho un'opinione su questo (ed è solo un parere).

"L'unica ragione per cui posso pensare è costringere i computer della rete a fidarsi dei propri certificati autofirmati invece di farli firmare digitalmente da una CA di terze parti."

Se si aggiunge una sola CA radice, è improbabile che venga visualizzato il certificato autofirmato nel senso tradizionale, essendo un certificato firmato da una CA interna (sebbene il certificato CA sia autofirmato). A meno che tu non colpisca lo stesso certificato su ogni scatola che sarebbe un'idea molto stupida. Basta firmare il certificato corretto con esso e quindi bloccare nuovamente quella CA senza mai fornirgli l'accesso alla rete e le richieste di firma indesiderata quando necessario.

Inoltre, il suo preferito (da me) a un certificato con caratteri jolly come compromissione di un host può solo portare all'intercettazione a quell'unico host (cosa che probabilmente farebbe comunque) piuttosto che tutto in quel dominio.

Infine una CA di terze parti è per me una linea di fiducia non necessaria su una rete interna. Puoi controllare le tue politiche interne ma non le loro - ovviamente se sono corrotte / compromesse possono comunque rovinarti se non ti fidi SOLO della tua CA.So ho sentimenti contrastanti su questo punto.

Se proteggi il certificato CA in modo sufficiente, non è meno sicuro di un terzo e, a mio modo di vedere, più sicuro di un certificato con caratteri jolly.