Est-il possible de restreindre l'utilisation d'un certificat racine à un domaine

Mon client utilise un certificat auto-signé pour qu'une application fonctionne. Pour pouvoir travailler, je dois installer le certificat racine qu'ils ont utilisé pour signer le certificat.

Est-il possible de configurer un certificat racine pour qu'il ne valide que vers un seul domaine?

En règle générale:

Non , la confiance accordée à chaque certificat signé par cette autorité de certification implique implicitement la confiance dans le certificat de l'autorité de certification du client.

Je ne connais pas d'applications / bibliothèques qui ont une option simple qui vous permet en tant qu'utilisateur final de choisir que vous ferez confiance à vos clients ou à tout autre certificat CA uniquement pour certains (sous-) domaines, c'est-à-dire uniquement pour *. example.com et * .example.org et rien d'autre.

Mozilla a une préoccupation similaire à propos des autorités de certification actuellement parrainées par le gouvernement comme point d'attention ouvert et, par exemple, Chrome a des contrôles supplémentaires intégrés pour accéder aux sites Google, c'est ainsi que le certificat voyou * .google.com et le compromis de l'autorité de certification Diginotar sont devenus publics. .

Mais même si vous ne faites pas confiance à l'autorité de certification, vous pouvez toujours importer / approuver un certificat de serveur spécifique signé par cette autorité de certification, ce qui empêchera les avertissements SSL pour les noms d'hôte de ce certificat. Cela devrait permettre à votre application de fonctionner sans erreurs ni plaintes.

Exceptions:

Une option très sous-utilisée de la norme PKI X.509v3 est l' extension Name Constraints , qui permet à un certificat CA de contenir des listes blanches et noires de modèles de noms de domaine pour lesquels il est autorisé à émettre des certificats.

Vous pourriez être chanceux et votre client s'est retenu lorsqu'il a configuré son infrastructure PKI et a inclus cette contrainte de nom dans son certificat CA. Vous pouvez ensuite importer directement leur certificat CA et savoir qu'il ne peut valider qu'une plage limitée de noms de domaine.

@CryptoGuy avait une assez bonne réponse ici, mais je voulais développer cela.

Paraphraser:

Vous pouvez restreindre l'autorité de certification tierce aux certificats de confiance (de cette autorité de certification) émis pour la liste de noms que vous souhaitez. Même si une autorité de certification tierce n'a pas d'extension de contrainte de nom, il est possible de les appliquer en utilisant votre propre serveur d'autorité de certification interne via la certification croisée. L'astuce consiste à signer une autorité de certification tierce en utilisant votre autorité de certification interne.

certificat SSL leaf -> certificat croisé -> votre certificat CA -> votre certificat racine interne.

Et voici comment cela fonctionne (en utilisant la ligne de commande OpenSSL CA)

Créer une autorité de certification simple

openssl req -new -x509 -days 3650 -newkey rsa:2048 -sha256 -out root-ca.crt -keyout root-ca.key -subj "/CN=My Root CA"

Vous pouvez ignorer la création d'une autorité de certification intermédiaire

Créez une demande CA intermédiaire, avec des contraintes de nom.

openssl req -new -days 3650 -newkey rsa:2048 -out domain-ca.req -sha256 -keyout domain-ca.key -config ossl_domain_com.cfg

Avec ceci dans le ossl_domain_com.cfgfichier:

[ req ]
prompt=no
distinguished_name=req_distinguished_name
req_extensions=domain_ca

[ req_distinguished_name ]
CN=somedomain.com trust CA

[ domain_ca ]
basicConstraints=critical,CA:true,pathlen:1
nameConstraints=critical,permitted;DNS:.somedomain.com

Ensuite, signez cette autorité de certification de domaine intermédiaire avec votre autorité de certification.

openssl x509 -req -in domain-ca.req -CA root-ca.crt -CAkey root-ca.key -sha256 -set_serial 1 -out domain-ca.crt -extensions domain_ca -extfile ossl_domain_com.cfg

Si vous avez ignoré la création de l'intermédiaire, utilisez votre autorité de certification racine pour signer

Maintenant, signez à nouveau l'autorité de certification du domaine d'origine sous votre autorité, à l'aide de leur certificat. Vous pouvez ajouter les extensions CA ici.

openssl x509 -in third_party_ca.crt -CA domain-ca.crt -CAkey domain-ca.key -set_serial 47 -sha256 -extensions domain_ca -extfile ossl_domain_com.cfg -out domain-cross-ca.crt

Vous devrez peut-être utiliser l' -x509-to-reqargument pour créer une demande, que vous signeriez exactement de la même manière que l'intermédiaire ci-dessus.

Maintenant, ajoutez votre autorité de certification racine, votre autorité de certification intermédiaire et le domaine-cross-ca à la base de données de confiance de votre navigateur.