Помогите разобраться с SSL сертификатом

Сумбурно написано, но почитайте принципы шифрования. Вы не до конца понимаете процесс.

Есть сертифицирующий орган (Thawte, geotrust и пр.) , вы генерируете на своем сервере запрос на сертификат, файл CSR , отправляете им на подпись. Они своим корневым, доверенным сертификатом подписывают ваш запрос и вы получаете сертификат - CRT.

Common Name в запросе и в полученном сертификате - это то, что вы сертифицируете.

Вы получаете от сертифицирующего органа КЛИЕНТСКИЙ сертификат, а не корневой, вы не можете этим клиентским сертификатом подписывать другие запросы CSR, т.к. не являетесь доверенным.

Что бы подписывать самому себе сертификаты - нужно стать сертифицирующим органом :)

Что Вам мешает получить бесплатный сертификат от Lets Encrypt - и не мучаться с этим вопросом?

Зачем? говорю же проверял proof of concept. Lets Encrypt или были еще конторы с бесплатными сертификатами на год - другой вопрос.

У некоторых центров сертификации цепочки идут по 2-3 сертификата: корневой доверенный, которым подписан другой сертификат, которым подписан третий, и уже третьим сертификатом подписан сертификат клиента (мой в данном случае). Я хотел просто добавить в цепочку еще 1 уровень, т.к. в моем сертификате не указано "ограничение на длину пути". Сертификат, подписанный доверенным сертификатом, получается доверенным. Почему им можно делать цепочки из сертификатов а мне нет? Я подозреваю что мне не хватает какого-то параметра в сертификате. Там, например, есть OIDs - для идентификации клиента, сервера, защиты почты и еще чего - но OID для подписывания я в интернете не нашел

Вот если открыть webmoney.ua - у них COMODO -> Comodo RSA Domain valivation -> *.webmoney.ua

У Comodo RSA указано в графе "использование" - "подписывание сертификатов". Каким параметром makecert / openssl ставится этот флаг?

P.S. да и почему при использовании самоподписанного или истекшего сертификата браузеры выдают предупреждение, но пускают на сайт, а в моей цепочке - не пускают?

Ну тогда Вам гуглить, гуглить и гуглить.

Когда поймете, что не самый умный - Lets Encrypt и продляется автоматически и доверенный.

Зачем придумывать велосипед?

Причем тут самый умный? Это что монополия у 3-4 фирм и еще сотни реселлеров, торгующих их сертификатами? Если в цепочке может быть один сертификат, подписанный другим и оба они не являются корневыми доверенными - изначальный вопрос был как сделать так чтобы своим сертификатом можно было подписывать другие сертификаты, как минимум для субдоменов?

See certificate extensions (basic constraints). Basic Constraints identifies if the subject of certificates is a CA who is allowed to issue child certificates.

For a certificate that can be used to sign certificates, the info is in some sense duplicated:

X509v3 Basic Constraints: CA: TRUE --- Can sign certificates

X509v3 Key Usage: Key Cert Sign --- Can sign certificates

But "Basic Constraints" will also specify the maximum depth of valid certification chain.

Though it is duplicated, you need to specify both, according to RFC 3280.

Конечно нет.

Ставьте свой центр сертификации, попросите добавить ваш коренной сертификат во все современные браузеры и устройства и вуаля - вы можете делать свои сертификаты.

Metal_Messiah, Андрейка правильно вам сказал, но как всегда в "своем духе" )))))

Шифрование по сути вам может обеспечить и Self Signed сертификат который вы подпишите без какого либо пути сертификации самостоятельно, а вот что бы браузеры "хавали" ваши сертификаты, в браузере должны быть установлены ваши корневые сертификаты..... По этому если делаете "для себя" можно вообще не париться, если хотите дать доступ клиентам - придется или WildCard покупать или таки какой-то Free сертификат, так будет проще чем создавать свой центр сертификации )))

Понятно. Значит если я когда-то захочу сделать свой центр сертификации, то нужно будет договариваться с разработчиками браузеров. Или недо-браузеров типа Amigo xD

Думал что если сертификатом можно подписать сертификат то значит можно купить сертификат у кого-то и им подписывать другие. А нет, все таки монополия :)

Было бы все так просто =)

Но на самом деле с появлением Lets Encrypt - вопрос с сертификатами, как по мне отпал.

По крайней мере можно получить его бесплатно, и не парится о продлении.