Sto cercando di capire lo scopo tipico di un certificato autofirmato.
Leggendo questo link sui certificati autofirmati e link su certificati DV Credo non ci siano informazioni contrastanti, quindi deduco che un certificato autofirmato semplicemente non offre alcuna garanzia di accesso al contenuto da un'entità che controlla il dominio e che lo scopo di un certificato autofirmato su un host web è semplicemente rendere fattibile il funzionamento della crittografia SSL?
Mentre con cifriamo offrendo certificati gratuitamente e facilmente oggi toglie l'argomento "non costa nulla", ci sono ancora motivi per cui i certificati autofirmati possono essere utili, ad esempio
L'unica vera differenza è che un certificato firmato da una CA è (di solito) attendibile senza richiedere all'utente l'input mentre un certificato autofirmato ha bisogno che l'utente lo convalidi e vi confidi, ad esempio controllando l'impronta digitale attraverso un canale fidato. Una volta che la fiducia è stata inserita nel certificato autofirmato, è valida come quella firmata da una CA (senza contare i problemi di rollover).
I certificati autofirmati potrebbero rivelarsi utili quando qualcuno non si fida della CA per non creare un certificato per un MITM, per esempio.
Un'altra grande applicazione di certificati autofirmati (o più in generale "certificati non firmati dalla CA") possono essere certificati client: un'applicazione Web può creare certificati per utenti autenticati e usarli per autenticarli da quel punto in avanti - certificato l'autenticazione basata su base è molto più efficace in termini di sicurezza rispetto ai tradizionali schemi username / password e viene spesso utilizzata per applicazioni B2B e applicazioni mobili.
L'uso di certificati S / MIME autofirmati rende S / MIME conveniente quanto GPG con la necessità di convalidare i certificati manualmente (vedi sopra), ma ci sono casi limite in cui qualcuno senza fiducia in una CA potrebbe avere accesso a S / Crittografia MIME ma non GPG (ad esempio gli utenti di iPhone e alcuni client di posta elettronica aziendali)
Considera il caso in cui controlli la catena di verifica dei certificati di root sia sul server che sul client (ciò si verifica quando sviluppi entrambi i componenti). Questo potrebbe includere scenari come:
Esecuzione di e-mail, database o server Web personali che verranno utilizzati solo da persone i cui certificati attendibili è possibile controllare;
Sviluppo di un endpoint o un'applicazione mobile che comunica con il tuo server;
Qui l'uso di un certificato autofirmato ha più senso dei certificati firmati dalla CA. Gli ovvi vantaggi includono:
Controllo completo del lifecpan del certificato, che consente ad esempio di firmare i certificati di "valutazione" affinché siano validi anche solo una settimana;
Controllo completo sul contenuto del certificato. Ad esempio, è possibile memorizzare le informazioni sulla licenza nel campo CNAME del certificato client, ad esempio "10 workstation". Anche per i server puoi anche emettere certificati jolly, che è qualcosa che Let's Encrypt non farà per te (e che di solito costa un bel po ').
Le proprietà di sicurezza dell'intero sistema sono conosciute. Ciò consente una migliore asserzione dei rischi, compresi i rischi di coercizione da parte degli stati nazionali;
È possibile firmare i certificati al volo. Ciò è utile in alcuni casi (l'ho usato durante l'implementazione del bilanciamento del carico dinamico);
E ovviamente è (quasi) gratuito.
Leggi altre domande sui tag tls certificates self-signed