使用通配符ssl证书对其他证书进行签名。

Question

是否可以使用通配符SSL证书对其他证书进行签名？

也就是说，我为*.example.com购买了一个根签名通配符证书

我想让第三方在thirdparty.example.com上为我提供服务。

我是否可以为thirdparty.example.com创建一个证书并使用我的*.example.com证书进行签名？或者我必须为第三方购买另一张证书。

如果这是不可能的，它是否有可能购买一个域名签名证书？为了明确起见，我只想为.example.com签名证书，而不是根级别(.com)签名证书。

Answer 1

不，你不能(虽然这在技术上是可能的，但不起作用)。因为证书签名证书必须有两个扩展名，其值如下：

1. 必须将基本约束设置为CA=True，并将其标记为关键
2. KeyUsages扩展必须启用keyCertSign和cRLSign位。

能买到域名签名证书吗？

是的，这是可能的，但这对你来说是非常昂贵的(如果你不打算颁发大量的证书的话)。因为您必须为这项服务付出巨大的代价，购买所需的硬件(HSM是强制性的)，编写文档(CPS在minumum)，并处理外部审核，以验证您是否遵守提供者的CPS (证书实践声明)。几年前，我写了一篇关于根证书签名的文章：证书颁发机构根签名。

HTH