是否可以使用 SSL 证书作为中间 CA 证书？答案

【问题标题】：Is it possible to use a SSL certifcate as an intermediate CA certificate?是否可以使用 SSL 证书作为中间 CA 证书？
【发布时间】：2013-02-27 22:33:00
【问题描述】：

我正在 Android 上设置 MITM 测试环境，我需要伪造假证书，然后将其呈现给应用程序。为了实现这一点，我需要我的 CA 是 Android 的受信任的，这意味着我必须手动安装我的 CA 的证书。

我想避免这个特定的步骤。

我正在考虑获得由 GoDaddy 或 GeoTrust 颁发的正确（= 购买）证书，这两个证书都受 Android 信任。但是我必须使用这个证书作为伪造的中间 CA。

有可能吗？有没有我没有考虑到的逻辑/实际限制？

【问题讨论】：

标签： android ssl-certificate man-in-the-middle

【解决方案1】：

这取决于证书中设置的扩展名以及软件是否正确检查它们。例如，证书密钥使用扩展指定密钥是否可用于签署其他证书。并且证书基本约束扩展指定了主体是否可以充当证书颁发机构以及证书可以低于多少级别。

普通的 SSL 证书不应具有充当 CA 证书所需的扩展。这意味着您的方法很可能行不通。

【讨论】：

所以，我基本上有两种解决方案。第一个是手动添加我的 CA，第二个是购买可以充当中间 CA 的证书。你能想到其他方法吗？另外，您对第二种解决方案有任何指示吗？提前致谢。
不，我没有其他想法。如果很容易获得中间 CA 证书，那么整个系统就不会非常值得信赖。因此，手动添加受信任的证书似乎几乎是唯一的选择。
是的，我明白了。 Android 上令人讨厌的事情是，证书首先使用 PIN 码或解锁图案加密，然后存储。但我不想强迫用户屈服于这个安全要求。