Pourquoi ne pas activer SSL Apache avec sa propre autorité de certification?

Question

J'ai acheté un nom de domaine. J'ai mis en place un site web déployé sur Apache, accessible sur mon domaine, actuellement sur le protocole http "port 80". Je veux maintenant configurer ce serveur Apache pour SSL. J'évalue les 2 options ci-dessous. Option # 1: Je crée la "Certificate Signing Request" (CSR), puis en tant que CA, je crée le certificat basé sur la CSR, puis je configure Apache sur le port 443, avec le certificat J'ai crée.

Option 2: Je crée le CSR, je soumets mon CSR à un CA largement connu comme Symantec pour obtenir un certificat. Je configure ensuite Apache sur le port 443, avec le certificat fourni par Symantec.

Quels sont les inconvénients de l'option 1? Du point de vue de l'utilisateur final «quelqu'un accédant à mon site», quelles indications auraient-ils que j'ai utilisé l'option n ° 1?

Est-il correct de supposer, avec l'option 1, que je ne pouvais pas obtenir que les utilisateurs finaux accèdent à mon site pour obtenir un menu de barre verte?

Answer 1

Avec l'option 1, l'utilisateur final n'a aucune garantie de ne pas être usurpé. Étant donné que vous agissez en tant que votre propre autorité de certification, l'utilisateur final doit décider s'il doit vous faire confiance. Si c'est le cas, ils peuvent faire confiance à quelqu'un qui a intercepté votre demande et utilisé son propre certificat.

Avec l'option 2, l'utilisateur fait confiance à l'autorité de certification qui a fourni votre certificat et peut être plus confiant qu'aucune attaque de type man-in-the-middle n'a lieu.

Dans certains cas, votre propre certificat auto-signé peut convenir. Pas pour tout vrai commerce électronique cependant. Quelle est l'indication de l'utilisateur final que je n'utilise pas une autorité de certification reconnue?