¿Puedo volver a firmar los certificados SMIME con mi propia CA?

Aunque teóricamente es posible crear un nuevo certificado a partir de la clave pública contenida en el certificado, esto tiene algunas desventajas:

1. Esto es un montón de trabajo, ya que normalmente las CA requieren una prueba de propiedad de la clave privada para crear un certificado (por ejemplo, por un CSR), por lo que las herramientas comunes no funcionarán tan aparentemente como con un CSR (afaik ).

2. Usted está repitiendo su cheque de hashes en cada clave o confiando en la CA al renunciar ciegamente a sus certificados.

   Si planea verificar todas las huellas digitales, también puede expresar su confianza en esos certificados directamente en lugar de en la CA de donde provienen. Si bien esto no confirma el estándar, algunas implementaciones lo permiten por tales motivos.

3. Su punto inicial de "No sé qué tan segura es la CA" no se maneja: si la CA (como suele suceder con esas compañías) no solo firma un CSR sino que crea un par de claves para el usuario, la CA en la que está intentando explícitamente no confiar puede tener la clave privada de un certificado que usted firmó.

Para resumir, algunos de los problemas desaparecen cuando su cliente permite confiar explícitamente en un certificado en lugar de en una CA, pero debe tener en cuenta que lo hizo y que la privacidad de la conversación podría estar dañada (tal vez incluso por una pasarela de correo de la empresa) de cualquier manera.

Para deshacerse de las advertencias, esto ayuda: tener confianza para los casos de uso de S / MIME en ambos sentidos (tu y mi sugerencia) no ayudan.

Pero, de nuevo, la PKI se encuentra en una etapa un tanto fragmentada, de modo que, dependiendo de sus necesidades, ni siquiera una CA "real" satisfaría sus necesidades y estaría mejor con un enfoque de PGP, expresando personalmente la confianza después de salir. autenticación fuera de banda.

Sí, pero no necesariamente te haría ningún bien.

Primero, los correos electrónicos firmados suelen contener el certificado (público) con la mitad pública de la clave del firmante. Esperará que sea lo que sea su cliente de correo esté dispuesto a recurrir a algún tipo de búsqueda externa después de que la extracción interna dé como resultado una firma válida pero una cadena no válida.

En segundo lugar, los correos electrónicos firmados permiten la identificación del certificado de dos maneras: 1) nombre del emisor y número de serie 2) "identificador de clave de sujeto".

Si el certificado se identifica a través del emisor + serie, cualquier certificado nuevo que haga no coincidirá (a menos que nombre a su CA igual que el de ellos, supongo). Si se identifica como el identificador de la clave del sujeto, entonces tendrá más posibilidades de éxito, ya que, en la mayoría de los casos, es solo un valor en una extensión de certificado y puede llevarlo a cabo durante la certificación cruzada.

Sin embargo, a menos que esté utilizando el software de CA que tiene la "certificación cruzada" como una primitiva, está pidiendo problemas. Dependiendo de lo que intente lograr, deberá omitir la generación de números de serie, es posible que tenga objetos de políticas de CA complicados que intenten ser útiles, pero rompa el certificado para sus propósitos, etc.

Probablemente, su solución más fácil es buscar en la confianza por certificado. Para Windows / Outlook, es probable que esté poniendo el certificado en "personas de confianza". Thunderbird probablemente tiene una característica similar.