È necessaria una CA personalizzata se si desidera utilizzare https sulla intranet aziendale. Le CA di terze parti possono fornire certificati solo per domini pubblici. Non ti daranno certificati per intranet.local o altri nomi host che vengono instradati solo nella tua rete. Quindi, quando desideri avere un certificato per la tua intranet o per l'interfaccia web dei tuoi server, devi aggiungere una CA personalizzata e firmarla tu stesso.

Potresti chiederti "Perché dovrei usare https sulla mia rete "? Attualmente c'è una tendenza a implementare tutto come un'applicazione basata su browser. Ciò significa che sempre più processi vengono gestiti tramite interfacce web interne, comprese quelle sensibili. Ad esempio, la nostra azienda sta attualmente implementando un'applicazione intranet basata sul Web per visualizzare le nostre buste paga (e, si spera, solo le nostre). Ma nelle organizzazioni più grandi, la rete interna può diventare così grande e complessa che non si può più parlare di LAN privata. L'intercettazione da parte di aggressori interni diventa una possibilità che non può essere cancellata, quindi la crittografia interna diventa una ragionevole precauzione.

I certificati sono una questione di fiducia.

La CA dovrebbe essere affidabile a livello globale, quindi possiamo fare affidamento su di loro anche se non ci conosciamo.

Nei casi in cui stai comunicando solo con persone che conosci o .... te stesso, come quando sei responsabile di una rete di macchine diverse, puoi scegliere di affidarti a te stesso più che affidarti a una CA che in effetti non conosci .

Un esempio potrebbe essere quando desideri creare tunnel tramite openVPN tra i computer che gestisci.

Ti "spii" intenzionalmente a scopo di debug, utilizzando strumenti proxy come Fiddler o Charles per acquisire il traffico https.

Questi strumenti vengono spesso utilizzati dagli sviluppatori di app mobili, tra gli altri, per eseguire il debug delle comunicazioni client-server. Una CA radice può essere generata e installata su un dispositivo mobile, un computer impostato come proxy http di quel dispositivo e tutto il traffico web, inclusi i dettagli di intestazioni, cookie, ecc ... verrà visualizzato per lo sviluppatore.

Ciò è utile per comprendere le prestazioni delle richieste di rete, decidere se incolpare il client o il server per un bug o per eseguire il reverse engineering delle API esistenti.

Un'altra risposta (aggiuntiva) è che la CA privata ha un dominio di sicurezza diverso dalle CA pubbliche.

Una CA pubblica certificherà le informazioni pubbliche: il fatto che il proprietario della corrispondenza della chiave privata abbia un particolare diritto pubblico al momento della richiesta. non si preoccupano davvero della segregazione interna e sicuramente non proteggeranno le risorse interne (ad esempio, l'esempio fornito da @Philipp sui nomi host non appartenenti al DNS pubblico).

Una CA privata riguarda solo proteggere le tue risorse interne: è progettato per avere un dominio di applicazione più limitato: funzionerà solo nel contesto della tua rete. Pertanto, può essere utilizzato per proteggere la comunicazione interna e fornire autenticazioni interne che hanno poco o nessun significato al di fuori della rete.

Inoltre, sono un po 'più sicure da usare: puoi delegare l'accesso più facilmente con loro. Ad esempio, l'amministratore di una filiale locale potrebbe avere il diritto necessario di rilasciare certificati per sistemi e persone sotto il suo controllo senza dovergli delegare l'intera identità aziendale.

Un altro motivo per cui un'organizzazione potrebbe voler installare un certificato radice è il filtro dei contenuti. La mia scuola superiore aveva un filtro dei contenuti appena prima del firewall, che aveva lo scopo di impedire agli studenti di accedere a vari tipi di contenuti. Tuttavia, non ha fatto un ottimo lavoro nel filtrare le connessioni HTTPS - a volte si bloccava in base all'indirizzo IP, ma tendeva ad essere molto pesante su alcuni siti (bloccando l'intero indirizzo IP) e non filtrava affatto su altri (dando accesso completo e non filtrato). Ad esempio, gli studenti hanno rapidamente capito che potevano accedere a Facebook se digitavano https: // facebook.com . (Penso che il filtro dei contenuti fosse abbastanza vecchio da non supportare nemmeno l'indicazione del nome del server.)

Poco prima della laurea hanno installato un nuovo filtro dei contenuti che forniva un filtraggio completo sul traffico HTTPS. Hanno installato una CA radice su tutti i computer e il firewall creerebbe certificati al volo per i siti Web HTTPS. Ciò consentiva il blocco basato su URL (piuttosto che il blocco basato sul nome host molto più grossolano che avrebbero dovuto utilizzare se non avessero falsificato i certificati), quindi ad esempio ora potevano consentire agli studenti di guardare i video di YouTube mentre ne bloccavano altri.

È interessante notare che il firewall aveva un'opzione per intercettare il traffico verso i siti bancari, insieme a un grande avvertimento per lasciare l'opzione disabilitata per sicurezza. (Presumibilmente aveva una whitelist di domini finanziari.)

Se gestissi una rete aziendale e volessi tenere d'occhio ciò che i miei dipendenti stavano facendo, creerei un server dei certificati e configurerei tutti i computer client in modo che considerino attendibili solo i certificati di questo server. Vorrei quindi che questo server emettesse i propri certificati per tutti i siti che i miei dipendenti potrebbero dover utilizzare.I miei dipendenti utilizzerebbero quindi felicemente il loro Gmail, Facebook, ecc. Anche se beatamente inconsapevoli che il certificato che il loro browser sta usando felicemente non è rilasciato da una CA esterna , ma dal mio server CA di rete interno. Il loro traffico di rete completo non crittografato può quindi essere registrato e monitorato dal server proxy di rete.

Ho un'opinione su questo (ed è solo un'opinione).

"L'unico motivo per cui riesco a pensare è costringere i computer della rete a fidarsi dei tuoi certificati autofirmati invece di ottenerli firmato digitalmente da una CA di terze parti. "

Se aggiungi solo una CA radice, è improbabile che venga visualizzato un certificato autofirmato nel senso tradizionale, è un certificato firmato da una CA interna (sebbene quel certificato CA sarà autofirmato). A meno che non sbatti lo stesso certificato su ogni scatola, il che sarebbe un'idea molto stupida. Devi solo firmare il certificato corretto con esso e quindi bloccare di nuovo quella CA senza mai darle accesso alla rete e richieste di firma di sneakernet quando necessario.

Inoltre, è preferito (da me) a un certificato jolly come compromesso un host può portare all'intercettazione solo a quell'host (cosa che probabilmente farebbe comunque) piuttosto che a tutto in quel dominio.

Infine una CA di terze parti è per me una linea di fiducia non necessaria su una rete interna . Puoi controllare le tue politiche interne ma non le loro - ovviamente se sono corrotte / compromesse possono ancora fregarti a meno che tu non ti fidi SOLO della tua CA.Quindi ho sentimenti contrastanti su questo punto.

Se proteggi quel certificato CA a sufficienza, non è meno sicuro di una terza parte e, a mio avviso, più sicuro di un certificato jolly.