带有 RSA sha256 的免费 SSL 证书和旧机器的 GlobalSign 根证书

Question

我需要从 legacy 系统与自己的服务器建立 TLS 连接。它支持：

• TLS 1.0/1.1
• sha256签名算法
• 2048 位密钥长度
• 几个根证书（特别是这个有效 - GlobalSign RSA OV SSL CA 2018）

不幸的是，安装额外的根证书是不可能的。自签名证书不适合我。

我已在我的服务器上成功设置旧的 TLS 版本，但在哪里获取合适的免费 SSL 证书存在问题。我尝试了两个免费的 SSL 提供商：

• Sslforfree.com - 它提供带有 sha384 的证书，而不是 sha256 算法
• 让我们加密 - 它使用我的系统上不存在的 ISRG Root X1

有什么建议我还能在哪里获得合适的证书吗？

Answer 1

我认为你会遇到困难，如果系统上有任何根 CA 仍在有效期内，那么它们不太可能仍然从所述根颁发。

您说过安装额外的根 CA 是不可行的（我假设您的意思是在系统受信任的根级别安装），我可以问为什么吗？

在应用程序级别将其设置为受信任的 CA 怎么样？在不知道应用程序是什么的情况下，我知道某些应用程序具有本地打包的 CA 信任列表，或者能够在可执行文件/cli 选项中指定受信任的主机。