如何正確分配root-CA的？

Question

可以說我有一個簽名-CA

我要簽名-CA PEM分配給我的客戶

什麼是分配PEM最佳做法？

• 只是公開允許下載？
• 僅適用於登錄用戶？
• 任何其他機制？

似乎是提供公共或至少受限制的下載鏈接是完全足夠的。這是正確的還是我錯過了什麼？

Answer 1

證書沒有祕密，它們通常作爲授權信息訪問鏈接的一部分發布給未經身份驗證的HTTP（不是S，儘管你可以同時執行）。

如果您是一個自簽名/根CA，則存在一個信任引導問題，您的用戶必須相信您是您（並且他們沒有從Man中獲得錯誤的證書中間）。 HTTPS端點有助於此;就像將證書嵌入到Authenticode或其他簽名的客戶端工具中一樣。