È necessario importare il certificato radice nel truststore per il browser. Una volta che il browser sa che ti fidi di questo certificato di origine, tutti i certificati firmati da questo verranno visualizzati come affidabili.

Tieni presente che questo renderà la connessione affidabile solo per te, tutti gli altri che non hanno il certificato di origine installato continuerà a ricevere un errore.

I certificati autofirmati non sono intrinsecamente considerati affidabili dal tuo browser perché un certificato in sé non costituisce alcun trust, la fiducia deriva dall'essere firmati da un'autorità di certificazione di cui TUTTI si fidano. Il tuo browser semplicemente non si fida del tuo certificato autofirmato come se fosse un certificato radice. Per fare in modo che il tuo browser accetti il ​​tuo certificato, accedi alle configurazioni del tuo browser e aggiungi il certificato come certificato radice.

Il modo migliore per ottenere un certificato autofirmato attendibile è eseguire una Cerimonia delle chiavi, che è fondamentalmente un grande evento pubblico in cui tutti i crittografi e gli esperti di sicurezza si riuniscono per assistere a una CA radice che genera la propria coppia di chiavi e si dichiara CA radice. Tutto viene registrato: video, chi sono e cosa fanno tutti dagli avvocati. La chiave privata viene suddivisa in molte parti diverse e archiviata separatamente nelle casseforti in genere dopo la firma di un singolo certificato che viene utilizzato come intermediario per firmare altri certificati. Puoi leggere la procedura tipica, se lo desideri. Ovviamente, è necessario disporre di una sicurezza all'avanguardia, sia tecnologica che fisica, per farlo e che chiunque voglia utilizzare o fidarsi della propria CA radice. Dopo aver eseguito questa operazione, i certificati possono essere inclusi nelle distribuzioni del browser e quindi possono essere utilizzati dal pubblico in generale per creare catene di certificati affidabili.

In realtà, i certificati autofirmati possono essere protetti, ma non con il modello che stiamo utilizzando ora.

Con la diffusa CA (autorità di certificazione ) attualmente utilizzato da tutti , lo scopo del certificato firmato da una CA attendibile è fornire l'autenticazione.

Quando otteniamo un certificato, tutto ciò che vediamo sono 1 e 0 sta entrando dal jack nel muro; non abbiamo idea da dove provengano gli 1 e gli 0. Tuttavia, poiché il certificato è firmato da una CA, cosa che nessun altro al mondo oltre a quella CA può fare, e poiché ci fidiamo della CA per verificare l'identità del proprietario del certificato, ci fidiamo che il certificato proviene da chi sostiene.

Ovviamente, se CA è compromessa o non verifica correttamente il proprietario, tutte le scommesse vengono off.

Tuttavia, esiste un altro modello, in base al quale i certificati autofirmati fanno forniscono autenticità. Si chiama modello notarile .

In sostanza, invece di affidarci a una singola CA, distribuiamo la fiducia a un numero qualsiasi di notai . Questi notai setacciano Internet alla ricerca di certificati, conservando una cache di tutti i certificati che hanno visto. Quando visiti un sito per la prima volta e ottieni il certificato, chiedi a numerosi notai distribuiti a livello globale qual era l'ultimo certificato che hanno visto. Se non sono d'accordo con ciò che stai vedendo, potresti far parte di un attacco man-in-the-middle.

Con questo modello, i certificati autofirmati sono perfettamente protetti, purché si presuma il server non viene immediatamente compromesso prima che un notaio possa mai visualizzare il suo certificato.

Il modello notarile è ancora agli inizi ed è dubbio che prenderà mai il controllo del modello CA (in realtà, non è necessario - possono essere utilizzati in tandem) . Il progetto più promettente finora è Convergence.io, che ha un plug-in per Firefox.

Risposta più breve.

Molte risposte qui, ma nessuna sembra arrivare direttamente al punto: senza una terza parte neutrale e riconosciuta, come un'autorità di certificazione, che verifichi la proprietà del certificato, un certificato è insignificante.

Risposta più lunga.

Per capire meglio, quando si fa qualcosa come creare una connessione HTTPS si ha la seguente catena:

• Un client web browser che effettua la richiesta al server.
• Il server web remoto che invia i dati al client.
• E un certificato HTTPS autorizzato da una terza parte neutrale che garantisce che il server è chi lo è e la crittografia è valida per questo motivo.

Un certificato autofirmato è intrinsecamente non attendibile perché chiunque può generare un certificato autofirmato . Chiunque includa un'entità che finge deliberatamente di essere qualcosa / qualcuno che non è. Con un certificato autofirmato, semplicemente, non esiste una terza parte fidata che abbia le procedure umane di base impostate per dichiarare semplicemente "Ok, questo dominio ha un certificato che abbiamo emesso e quindi puoi fidarti di loro. Diciamo che in realtà sono il dominio che pretende di essere e non un impostore. "

E poiché chiunque nel mondo può creare un certificato autofirmato da solo, il suo utilizzo presenta problemi di fiducia intrinseci. Ciò che rende valido un certificato ha pochissimo a che fare con la tecnologia avanzata o le tecniche di crittografia , ma ciò che lo rende valido è un processo incentrato su una terza parte neutra e riconosciuta che convalida un procedura di utilizzo e produttori di browser che aderiscono a tali procedure.

Alla fine della giornata una coppia di chiavi di crittografia è un mucchio di bit e byte completamente insignificante senza l'applicazione dei processi e delle procedure che li circondano .

I certificati autofirmati non possono essere considerati attendibili perché chiunque è in grado di crearne uno.

Un utente malintenzionato che esegue un attacco MITM potrebbe facilmente sostituire qualsiasi certificato con uno autofirmato uno e impersonare qualsiasi sito web che stai visitando, anche se stai utilizzando HTTPS.

Ecco perché stiamo utilizzando autorità di certificazione affidabili per garantire che i certificati non possano essere falsificati.

Abbiamo tutti bisogno di un po 'di contesto.

C'è una differenza tra "untrusted" e secure.

E "Trusted" non implica necessariamente Secure (o Authentic)

Un certificato autofirmato su una rete isolata con un solo server e un client è probabilmente più sicuro di qualsiasi certificato "fidato".

E "fidato" implica SOLO che un certificato dell'autorità di certificazione è stato aggiunto all '"Archivio certificati attendibili" per il client. Se il certificato dell'autorità di certificazione è stato aggiunto durante una sessione di "phishing", il certificato non contiene nulla di sicuro.

Non sono un fan di questo ci sono spesso centinaia di autorità di certificazione "attendibili" inserite nel client da "altri", ma non conosco nemmeno un approccio migliore.

Certamente le autorità di certificazione devono eseguire un migliore processo di "verifica" ( in generale) di quanto stanno facendo ora prima di emettere un certificato.

A qualsiasi applicazione deve essere fornito l'elenco dei "certificati root" per essere attendibili.

Nel caso di un browser, esiste un elenco definito fornito di default con qualsiasi browser, ma questo elenco non lo fa contenere il tuo certificato.

Immagina di non dover fornire effettivamente l'elenco dei certificati di cui ti fidi, quindi chiunque sarebbe in grado di configurare un sito Web https che un browser nel mondo accetterebbe senza preavviso del rischio per la sicurezza.

D'altra parte, funzionerebbe immediatamente se il tuo certificato CA fosse esso stesso firmato da uno dei certificati attendibili predefiniti ... ma devi pagare.

Ci sono abbastanza risposte su come aggiungere un certificato CA all'elenco di fiducia, quindi salterò questa parte.

Se vuoi farlo per i browser, ecco i passaggi:

Per Chrome 58+: - Impostazioni -> Mostra impostazioni avanzate -> Gestisci certificati -> Importa -> sfoglia -> scegli Attendibile Autorità di certificazione radice -> fai clic su Sì nella finestra popup.