Come rilevare se il certificato X.509 appartiene alla CA o all'utente finale regolare (host)

Quindi, ci sono alcuni modi per dire (in nessun ordine particolare):

• Vincoli di base: può identificare un certificato come appartenente a una CA o un'entità finale.
• Utilizzo chiave: i certificati CA saranno validi per il certificato e (solitamente) la firma CRL e (di solito) non per la crittografia delle chiavi. Le informazioni migliorate sull'uso delle chiavi potrebbero essere utili o meno qui.
• Nome soggetto: i certificati end-entity identificheranno un'entità finale (come un nome di dominio, un indirizzo e-mail, ecc.), mentre i certificati CA identificheranno una CA. Mentre non c'è nulla che impedisca tecnicamente a una CA di utilizzare un certificato con un nome di dominio o simile come il suo campo di nome comune, in pratica non mi aspetterei mai di vederne uno.
• Verifica della catena di firme: i certificati di CA root sono autofirmati e dovrebbero essere trovati nel tuo trust store (la maggior parte dei server web non li invia direttamente); i certificati CA intermedi devono essere firmati da certificati CA radice o certificati CA intermedi, mentre i certificati entità finali sono quasi sempre firmati da certificati CA intermedi e non hanno firmato alcun certificato stesso. Nella situazione che descrivi (vedendo due certificati in Wireshark), puoi essere certo che quello che ha firmato l'altro è un certificato CA e quello che è stato firmato è il certificato dell'entità finale.

I certificati CA devono contenere il cA Flag con valore true in Basic Constraints extension . Vedi anche questa domanda