Вопрос
Я приобрел настоящий SSL-сертификат для аутентификации моего компьютера и домена, в котором размещены некоторые службы WCF.
Как я могу использовать MakeCert для создания сертификата клиента, подписанного этим подлинным сертификатом, чтобы использовать его на клиентских компьютерах для проверки того, что они подключены к правильному (моему) серверу?
Сертификат клиента будет использоваться для аутентификации использования службы WCF на моем сервере.
В общем, нельзя. Каждый сертификат выдается для определенной цели (использования ключа). В вашем случае, скорее всего, это SSL-аутентификация. Такие сертификаты нельзя использовать для подписи других сертификатов (ну, технически они могут, но такая подпись не будет принята во время проверки). Сертификаты с поддержкой CA стоят огромных денег, и вам необходимо соответствовать определенным организационным требованиям.
Вам не нужно создавать сертификат клиента только для аутентификации сервера - для этого используется сертификат сервера. Сертификаты клиентов используются, чтобы сообщить серверу, кто являются клиентами, то есть для аутентификации клиентов на сервере. И для таких сертификатов вам не нужно подписывать их сертификатом сервера - вы можете либо создать самозаверяющие сертификаты клиента, либо создать один самозаверяющий сертификат, который будет действовать как CA и сделать его доверенным на сервере. Затем используйте этот самозаверяющий сертификат для выдачи клиентских сертификатов.
Выполнение всего вышеперечисленного требует понимания того, как работают сертификаты PKI и X.509 (и, кстати, они не являются "сертификатами SSL" и не связаны с SSL).
Перевод вопроса и ответов сообщества Stack Overflow, лицензия CC BY-SA. Оригинал на Stack Overflow.
