Warum nicht SSL Apache mit eigener CA aktivieren?

Question

Ich habe einen Domain-Namen gekauft. Ich richte eine Webseite ein, die auf Apache deployed wird, die auf meiner Domain erreichbar ist, derzeit auf http-Protokoll "Port 80". Ich möchte nun diesen Apache-Server für SSL konfigurieren. Ich bewerte die folgenden 2 Optionen.

Option # 1: Ich erstelle die "Certificate Signing Request" (CSR), dann während ich als CA arbeite, erstelle ich das Zertifikat basierend auf der CSR, dann konfiguriere ich Apache für Port 443 mit dem Zertifikat Ich erschuf.

Option # 2: Ich erstelle den CSR, ich reiche meinen CSR bei einer allgemein bekannten CA wie Symantec ein, um ein Zertifikat zu erhalten. Ich konfiguriere dann Apache für Port 443 mit dem von Symantec bereitgestellten Zertifikat.

Was sind die Nachteile der Option # 1?

Aus Sicht des Endanwenders "jemand, der auf meine Website zugreift", welche Angaben hätte ich, dass ich die Option # 1 verwendet habe?

Ist es richtig anzunehmen, dass ich mit der Option # 1 nicht erreichen konnte, dass Endbenutzer auf meine Website zugreifen, um ein grünes Balkenmenü zu erhalten?

Answer 1

Mit Option 1 hat der Endbenutzer kein Vertrauen, dass er nicht gefälscht wird. Da Sie als Ihre eigene CA agieren, muss der Endbenutzer eine Entscheidung treffen, ob er Ihnen vertrauen soll. Wenn sie es tun, vertrauen sie möglicherweise jemandem, der Ihre Anfrage abgefangen und ihr eigenes Zertifikat verwendet hat.

Mit Option 2 vertraut der Benutzer der Zertifizierungsstelle, die Ihr Zertifikat bereitgestellt hat, und kann sicherer sein, dass kein Man-in-the-Middle-Angriff stattfindet.

Für einige Zwecke kann Ihr eigenes selbstsigniertes Zertifikat in Ordnung sein. Nicht für irgendeinen echten E-Commerce.