Как создать частные сертификаты безопасности, которые ведут себя как официальные?

Question

Я пытаюсь получить допустимую защищенную среду для HTTP-коммуникации, которая будет вести себя как нормальная. Я делаю это для ограниченной группы пользователей.
Существует аппаратный сервер, на котором работает веб-служба (nginx). OpenSSL установлен на этой машине, и я использую его как центр сертификации. Я создал сертификат корневого центра сертификации и подписал сертификат для веб-службы, использующей его. Затем я предоставил сертификат корневого CA доверенному пользователю (другому компьютеру, которым я управляю), и он был импортирован в Firefox как доверенный орган.
Почти все работает нормально (служба HTTPS доступна, а страница с предупреждением не появляется), но я получаю синий статус (первое, что находится в адресной строке перед https://...) службы:

Youy are connected to
example.com
which is run by
(unknown)
Verified by: MyCA Company

Например, другие всемирно известные HTTPS-сайты, такие как addons.mozilla.com, показывают зеленый статус, и у них нет этого (неизвестного) фрагмента данных. У них там есть название компании и местонахождение.

Можно ли получить индивидуальный закрытый защищенный environemt, который будет вести себя как нормальный и быть зеленым? Если да, что нужно сделать, чтобы получить это (на стороне клиента? на стороне сервера?)?

В качестве побочного вопроса: где я могу узнать о PKI, SSL, и всем этом от 0 до продвинутого? или, может быть, есть хорошие книги, связанные с этим?

Заранее благодарю за любую помощь и ответы.

Answer 1

Вы не можете - это в значительной степени обоснование сертификатов EV (те, которые делают адресную строку зеленой). Вы практически должны будете пропатчить свой браузер или взломать закрытый ключ некоторых EV-CA.

Я нашел ветку в списке рассылки OpenSSL, которая объясняет проблему; Возможно, вы также захотите взглянуть на статью в Википедии о том, что представляет собой расширенная проверка.

Что касается вашего дополнительного вопроса: весь материал PKI и SSL ужасно сложен. Я нашел статью, которая объясняет некоторые теории создания вашей собственной PKI, но это далеко не хороший учебник "от нуля до продвинутого". Тогда есть, конечно, RFC 5280, но это делает чтение очень тяжелым. Но, по крайней мере, это официальный стандарт, чего бы это ни стоило.