如果想要个人自己建一个权威 CA，成本大概多少，需要哪些途径？

This topic created in 1983 days ago, the information mentioned may be changed or developed.

今天翻证书链，发现 Google 的 CA 的中间证书还有半年就要到期了。

突发奇想，如果我想自己建一个权威 CA 给自己发证书，要花多少钱？

Supplement 1 · Jun 5, 2021

谢谢大家提供的信息，那么购买一张中级证书成为 RA 需要多少成本呢？

Supplement 2 · Jun 5, 2021

我找到了 GeoTrust 的文档 https://archive.is/q01DZ

To purchase GeoRoot you must meet the following minimum requirements:
- Net worth of $5M or more
- A minimum of $5M in Errors and Omissions insurance
- Articles of Incorporation (or similar) and an incumbency certificate provided
- A written and maintained Certificate Practice Statement (CPS)
- A FIPS 140-2 Level 2 compliant device (GeoTrust has partnered with SafeNet, Inc.) for key generating and storing your root certificate keys
- An approved CA product from Baltimore/Betrusted, Entrust, Microsoft, Netscape or RSA

我觉得还是放弃的好。。。

证书

权威

突发奇想

Google

15 replies • 2021-06-05 19:03:22 +08:00

lianyue

Jun 5, 2021

最快的方法就是找一个权威的收购看看市值就找到了

TyteKa

Jun 5, 2021

CA 的安全级别不是一个一般人能够达到的。可参考 https://www.zhihu.com/question/22260090/answer/648910720

iBugOne

Jun 5, 2021

权威 CA 是不可能的，但是如果只是自己建一个 CA 给自己发证书的话，一分钱都不用，各种工具（尤其是 openssl 命令行）就可以直接开干

learningman

Jun 5, 2021

@TyteKa #2 看了一下，感觉我想要的是个 RA，就是能给自己签证书就行。

tia

Jun 5, 2021

要同时取得微软、谷歌、苹果、Mozilla 、甲骨文等的信任

mxT52CRuqR6o5

Jun 5, 2021 via Android

我记得之前好几个 ca 的收购都价值几亿美金以上这样子吧
权威 CA 最重要的就是信用，要证明自己的信用可不便宜哦

Tink

Jun 5, 2021 via Android

自己签证书不要钱，0 成本，会敲命令就行了

zanxj

Jun 5, 2021

印证了什么叫无知者无畏[狗头]

nightwitch

Jun 5, 2021

0 成本，用 openssh 生成个根证书然后想签多少签多少。

想要取得操作系统厂商和浏览器厂商的信任的话洗洗睡吧，不是靠一个人能搞定的。

Jirajine

Jun 5, 2021 via Android

你可以顺便搞个操作系统 /浏览器的发行版，然后信任自己的 CA 。

chinvo

Jun 5, 2021 via iPhone

最大成本是楼上说的管控成本, 其次是审计成本. 或者说, 其实所有主要成本都是审计成本.

有个机构叫 CA/浏览器论坛 Certification Authority Browser Forum. 标准化了认证流程. 可以看一下这个机构发布的标准文件. 其中“最重要”的是, CA 机构需要向四大律所缴纳费用以通过设立审计和年度审计. 而前面说的那些成本, 其实都隐含在审计中.

chinvo

Jun 5, 2021 via iPhone

所以成本最低的办法是买个 white label 或者 managed intermediate CA

moult

Jun 5, 2021

GTS 是 GlobalSign 颁发的中级 CA，GlobalSign 负责联系各大操作系统以信任它的根证书，这样 GTS 颁发的证书就能被操作系统信任了。
新 CA 最大的问题还是在浏览器信任，所以只能找现有的 CA 做交叉信任。
ZeroSSL 也是同样，作为新兴的免费 CA，找 USERTrust 购买了中级证书，就能立即开张做生意了。

moult

Jun 5, 2021

如果你要在可控的范围内做权威 CA 的，比如公司内部，可以自己签发根证书，然后再所有的设备上手动信任即可。
MacOS 的话，可以使用 XCA 软件，可视化创建，比 OpenSSL 来的方便 https://www.hohnstaedt.de/xca/

churchmice

Jun 5, 2021 via Android

我自己是用 xca 管理的，不花一分钱