¿Puede una autoridad de certificación firmar certificados de otra CA?

Sí, es posible, pero la mejor pregunta es si lo harían. La reputación del CA es su sangre vital. ¿Por qué darían una autoridad de firma confiable a otra CA que podría no cumplir con sus estándares (y podría ser un competidor directo en el futuro)? Por lo que yo sé, ninguna CA ofrece este tipo de servicio, ni veo cualquier razón por la que consideren hacerlo en el futuro. Al parecer, algunas CA permiten esto, pero tienen requisitos extensos para la seguridad del certificado secundario y cobran una cantidad muy grande por el privilegio.

No solo podrían ellos - algunos lo hacen. Pero efectivamente le están delegando su monopolio, le cobrarán MUCHO dinero por el privilegio (como en el caso de que necesite pedirlo, entonces no puede permitírselo). No es rentable a menos que esté emitiendo un número de certificados ENORME

Cuando accedes a un sitio web https desde tu navegador, el servidor enviará el certificado del cliente (omitiendo otros parámetros de comunicación para simplificar). El cliente utilizará esta información para autenticar el servidor

• ¿Es válido el período de fecha del certificado?
• ¿Se confía en el emisor CA? El cliente tendrá una lista de CA confiables ('Cadena de confianza') , así que digamos que en el certificado de jerarquía 2 (excluyendo los certificados personales), usted tiene la CA raíz y la CA intermedia que el cliente apoyo. El campo emisor en el certificado tendrá los detalles del emisor.
• ¿La clave pública de la CA valida la firma digital del emisor?
• ¿El nombre de dominio en el certificado de servidor coincide con el servidor real?

Ahora, para su pregunta, la jerarquía superior será el certificado raíz emitido por (en su ejemplo) Verisign. La clave aquí es que es el certificado raíz, por lo que el certificado raíz es su ancla de confianza de la cual se encuentra la cadena de confianza derivado.

Así que no, personalmente no creo que lo que me estás preguntando sea posible.

Editar: olvidé agregar, la confianza se produce jerárquicamente, por lo que, en tu escenario, incluso si logras obtener esto de alguna manera - > Certificado - > Autofirma intermedia CA - > Verisign root ... El navegador buscará el emisor de certificados, es decir, el certificado autofirmado donde la confianza fallará. Por lo tanto, llegar a firmar el certificado autofirmado con una raíz confiable como Verisign no tiene sentido, la confianza fallará antes de esa fecha

El modelo de CA se basa en confiar completamente en cada autoridad de certificación para actuar de manera confiable y mantener sus claves privadas seguras.

Este es un diseño problemático cuando su navegador, sistema operativo u otro SSL / TLS que usa la aplicación confía implícitamente en cientos de certificados, a menudo de fuentes menos confiables.

Cualquier autoridad de certificación puede firmar cualquier certificado, por lo que si alguna autoridad de certificación está comprometida, la mayoría de las conexiones SSL / TLS pueden ser sometidas en secreto a un ataque Man-in-the-Middle. La única forma de detectar esto es si realmente inspeccionó los detalles del certificado y observó que la autoridad que firmó el certificado no es la autoridad que debería haber firmado el certificado. Esto se puede hacer por fijación de certificados donde solo confía en un determinado certificado (o certificados firmados por la clave privada correspondiente a ese certificado). Por ejemplo, la fijación de certificados impidió que se acceda a los sitios de Google a los que se accede a través del navegador Google Chrome vulnerable a los ataques MitM utilizando certificados fraudulentos firmados por diginotar .