¿Está bien agregar un certificado autofirmado en un almacén de confianza en esta situación?

Sí, en esta situación, está bien utilizar un certificado autofirmado, con la siguiente condición ...

No todos los navegadores funcionan bien con certificados autofirmados. Firefox, por ejemplo, generalmente desea verificar de forma independiente la CA para un certificado y puede que no confíe automáticamente en los certificados que se han agregado manualmente al almacén de certificados en el cliente.

Es posible que el usuario aún pueda indicar al navegador que ignore la advertencia, pero es posible que no sea posible eliminar la advertencia.

Si los usuarios no están usando Firefox, o están de acuerdo con los mensajes de advertencia, entonces la firma automática está bien.

También vale la pena tener en cuenta que generalmente no será posible agregar certificados personalizados en dispositivos móviles. Si sus usuarios desean utilizar dispositivos móviles, los certificados autofirmados pueden ser problemáticos.

Si entiendo correctamente, desea crear una conexión SSL correcta sin tener que comprar un certificado a un proveedor conocido de terceros.

Como dijo que podría conocer a todos los clientes y preinstalar certificados antes de la primera comunicación con el servidor, está perfectamente bien. Simplemente, si utiliza directamente el certificado autofirmado, podría dirigir los navegadores (y usuarios) en varios casos de esquina, que podría evitar fácilmente.

Mi consejo sería construir una mini CA ( openssl viene con todo lo que necesitas para eso, incluye tutoriales):

• creas un certificado autofirmado que se usará para firmar certificados auxiliares y almacenar la clave privada en un lugar seguro
• se lo pasa a sus clientes fuera de línea y les pide que lo instalen como un certificado raíz (todos los certificados raíz son por definición autofirmados)
• creas un certificado de servidor que firmas con el certificado autofirmado y lo usas normalmente.

De esa manera, todos los navegadores procesarán sin problemas una cadena de certificados estándar . Como beneficio adicional, incluso podría publicar una Lista de revocación de certificados inicialmente vacía, que podría usar más tarde si necesita revocar un certificado.

  

... mi servicio no está basado en navegador
  ... Todos los clientes son gestionados

Siempre y cuando verifique correctamente el certificado, el uso de un certificado autofirmado está bien desde la perspectiva de la seguridad. Su aplicación "no basada en navegador" debería aceptar este único certificado, ya sea comparando la clave pública o el certificado completo. Consulte OWASP: identificación de clave pública y certificado para obtener más información, incluido el código de muestra.

En su caso de uso, incluso podría ser más seguro que confiar en las agencias públicas de certificación habituales, ya que cuanto menos necesite confiar, menos podrá usar mal su confianza.

Pero, dependiendo de dónde se use su aplicación, también podría tener problemas al confiar solo en este único certificado. La intercepción SSL realizada por razones de seguridad en los firewalls de la empresa no funcionará en este caso, ya que el firewall no confía en su certificado autoemitido y su aplicación no confía en el certificado emitido por el firewall. Esto significa que su aplicación no funcionará en absoluto o solo funcionará si se agregan excepciones explícitas al firewall.