(Được đăng lên ServerFault thay vì StackOverflow vì tôi cảm thấy nó liên quan đến cấu hình HĐH hơn là mã lập trình).
Tôi hiện chịu trách nhiệm duy trì một hệ thống kết nối với dịch vụ web của bên thứ ba. Dịch vụ web này yêu cầu chứng chỉ xác thực ứng dụng khách, đủ công bằng, nhưng bản thân dịch vụ web được bảo mật bằng chứng chỉ tự ký được tạo bởi chứng chỉ ủy quyền chứng nhận gốc tự tạo - cùng gốc tạo chứng chỉ xác thực ứng dụng khách.
Chỉ cần thêm chứng chỉ dịch vụ hiện tại vào danh sách đáng tin cậy và bỏ qua chứng chỉ ủy quyền tự tạo, không may là chứng chỉ dịch vụ thay đổi thường xuyên để chứng chỉ ủy quyền phải được tin cậy để đảm bảo ứng dụng không bị hỏng khi chứng chỉ dịch vụ được gia hạn.
Tuy nhiên, tôi (cá nhân) không tin tưởng chứng chỉ CA dựa trên kinh nghiệm của tôi với công ty điều hành dịch vụ web - điều đó sẽ không làm tôi ngạc nhiên nếu nó bị rò rỉ trên web - và đáng lo ngại là chứng chỉ CA không có hạn chế sử dụng khóa nó (trong khi các cuộc tấn công MITM bên ngoài là một khả năng, mặc dù ở xa, tôi quan tâm nhiều hơn đến một chứng chỉ bị rò rỉ được sử dụng để ký mã chẳng hạn).
Tôi có thể nói với máy tính của mình (hiện là hộp máy chủ, nhưng trong các hộp máy khách để bàn thông thường trong tương lai) tin tưởng CA nhưng chỉ với một tập hợp các khóa sử dụng nhất định và một nhóm nhỏ các tên chủ đề có thể (tên miền )?
Máy chủ hiện tại là Windows Server 2012 R2, nhưng nó có thể đang chạy trên hộp Linux - mặc dù các máy tính để bàn đều là các hộp Windows.