Brauchen Sie Hilfe Einstellung eines Vertrauens der Autoritätskette nach oben (in Tomcat)

Question

Blei in ... Ich bin kein Experte, bei weitem in der Anwendungssicherheit über SSL, aber ich versuche, eine Testumgebung zu schaffen, die alle möglichen Szenarien gehören wir in der Produktion auftreten können. Dazu habe ich einen Baum von Zertifizierungsstellen (CAs), die die Emittenten von einem Sortiment von Test-Client-Zertifikaten sind, und Knoten / Server-Zertifikate (komplexe Testumgebung, die den verschiedenen veröffentlichten Web-Service und andere Anwendungen, die wir integrieren).

Die Struktur dieser CAs sind wie folgt: Root CA, die unterzeichnet / ausgestellt Sub CA1, Sub CA2 und Sub CA3. Diese U-Boote haben dann unterzeichnet / ausgestellt alle Zertifikate dieser verschiedenen Knoten und Clients in der Umgebung.

Jetzt für die Frage .... In meiner Anwendung-Vertrauens möchte ich Vertrauen alles wie von Sub CA1 unterzeichnet und Sub CA2, aber nicht Sub CA3 (ungesicherter). Bedeutet dies, meine Trusts sollte (1) NUR enthalten Sub CA1 und Sub CA2, oder (2) sollte es Root CA, Sub CA1 umfassen und Sub CA2?

Ich weiß nicht, was der richtige Weg ist, diese Vertrauenskette in einem Trusts darzustellen. In der Zukunft möchte ich auch ein Sub CA4 (auch unterzeichnet / herausgegeben von der Root-CA), hinzuzufügen, aber für Testzwecke, die zu einer Certificate Revocation List (CRL) hinzuzufügen.

Im Vorfeld der Zeit, danke für jede Hilfe diese über. Es ist sehr zu schätzen.

Answer 1

CAVEAT: Ich werde testen, das nicht so dass ich hoffe, dass meine Antwort richtig ist.

Ich denke, Ihre Grundannahme korrekt ist. Ich glaube nicht, können Sie selektiv revoke Vertrauen ohne benutzerdefinierten Code zu schreiben, so dass Ihr Trusts nur Zertifikate, die vertrauenswürdig sind vollständig enthalten sollte. So lassen Sie die Root-CA und wählen Sie Ihre Option (1).

Wie Sie sehen können, wie feinkörnige Zugriffssteuerung zu erzwingen versucht, ist schlecht geeignet, um die Java (und die meisten jedes anderes System) X509 Zertifikat -basierte Authentifizierungsmodell. Sie sind im Grunde auszulagern Identitätsprüfung Verisign, Thawte, GoDaddy, Global usw. für SSL-Zertifikate und Code Signing-Zertifikate entwickelt. Es können auch andere Modelle unterstützen, einschließlich selbstsignierten Zertifikaten, aber nicht ohne erhebliche Upfront-Schmerz und die laufende Wartung Kopfschmerzen.