Diciamo che un web server vorrebbe ospitare traffico su HTTPS . La mia comprensione incompleta è che TLS consente HTTPS .
client <--- HTTPS (over TLS) ---> server
Il server deve produrre un certificato da presentare al client, che quindi deve fidarsi di esso per procedere alla comunicazione HTTPS . Il server ha 2 opzioni per ottenere un certificato:
- Compra un certificato da una "Autorità di certificazione attendibile"
- Crea un certificato
Nel primo caso, come comprendo, il tempo di esecuzione del cliente, ad es. Java JRE, si fiderà del certificato.
Tuttavia, nel secondo caso, a quanto ho capito, il client deve aggiungere il "certificato" al proprio "negozio sicuro".
Supponendo che quanto sopra sia parzialmente corretto, perché un'azienda dovrebbe scegliere la seconda opzione, cioè produrre il proprio certificato?