使用通配符 ssl 证书签署其他证书

Question

是否可以使用通配符 SSL 证书来签署其他证书？

即我为 *.example.com 购买了根签名通配符证书

我想允许第三方在thirdparty.example.com 上为我提供服务。

我是否可以为 thirdparty.example.com 创建证书并使用我的 *.example.com 证书对其进行签名？还是我必须为第三方购买单独的证书。

如果这不可能，是否可以购买域签名证书？为了清楚起见，我只想为 .example.com 签署证书，而不是根级别 (.com) 签署证书。

Answer 1

不，你不能（虽然技术上可行，但它行不通）。因为证书签名证书必须有两个扩展名，具有以下值：

1. Basic Constraints 必须设置为 CA=True 并标记为关键
2. KeyUsages 扩展必须启用 keyCertSign 和 cRLSign 位。

是否可以购买域签名证书？

是的，这是可能的，但对您来说会非常昂贵（如果您不打算颁发大量证书）。因为您将不得不为这项服务付出巨大的代价，购买所需的硬件（HSM 是强制性的），编写文档（至少 CPS）并处理外部审计以验证您是否遵守提供商的 CPS（证书实践声明）。前段时间写过一篇关于根证书签名的文章：Certification Authority Root Signing。

HTH