Vous devez importer le certificat racine dans le magasin de confiance du navigateur. Une fois que le navigateur sait que vous faites confiance à ce certificat racine, tous les certificats signés par celui-ci apparaîtront comme étant de confiance.

Notez que cela ne rendra la connexion fiable que pour vous, tous les autres qui n'ont pas le certificat racine installé recevra toujours une erreur.

Les certificats auto-signés ne sont pas intrinsèquement approuvés par votre navigateur car un certificat lui-même ne forme aucune confiance, la confiance vient d'être signée par une autorité de certification à laquelle TOUT LE MONDE fait confiance. Votre navigateur ne fait tout simplement pas confiance à votre certificat auto-signé comme s'il s'agissait d'un certificat racine. Pour que votre navigateur accepte votre certificat, accédez aux configurations de votre navigateur et ajoutez le certificat en tant que certificat racine.

La meilleure façon d'obtenir un certificat auto-signé de confiance est de passer par une cérémonie de clé, qui est essentiellement un grand événement public où tous les cryptographes et experts en sécurité se réunissent pour assister à une autorité de certification racine générer leur paire de clés et se déclarer une autorité de certification racine. Tout est enregistré: vidéo, qui est tout le monde et ce que chacun fait par les avocats. La clé privée est divisée en plusieurs parties différentes et stockée séparément dans des coffres-forts généralement après la signature d'un seul certificat qui est utilisé comme intermédiaire pour signer d'autres certificats. Vous pouvez en savoir plus sur la procédure typique si vous le souhaitez. Bien sûr, vous devez disposer d'une sécurité de pointe, à la fois technologique et physique, pour ce faire et que quiconque souhaite utiliser ou faire confiance à votre autorité de certification racine. Après cela, vos certificats peuvent être inclus dans les distributions de navigateur et peuvent ensuite être utilisés par le grand public pour créer des chaînes de confiance de certificats.

En fait, les certificats auto-signés peuvent être sécurisés, mais pas sous le modèle que nous utilisons actuellement.

Sous l'autorité de certification (autorité de certification ) que tout le monde utilise actuellement, l'objectif du certificat signé par une autorité de certification de confiance est de fournir une authentification.

Lorsque nous obtenons un certificat, tout ce que nous voyons vraiment est 1 et 0 vient du jack dans le mur; nous n'avons aucune idée d'où viennent ces 1 et 0. Cependant, comme le certificat est signé par une autorité de certification - ce que personne d'autre que cette autorité de certification ne peut faire - et parce que nous faisons confiance à l'autorité de certification pour vérifier l'identité du propriétaire du certificat, nous sommes convaincus que le certificat provient de la personne à qui il prétend.

Bien sûr, si l ' autorité de certification est compromise ou ne vérifie pas correctement le propriétaire, tous les paris sont désactivé.

Cependant, il existe un autre modèle dans lequel les certificats auto-signés fournissent l'authenticité. C'est ce qu'on appelle le modèle du notaire .

Essentiellement, plutôt que de faire confiance à une seule autorité de certification, nous distribuons la confiance à un nombre quelconque de notaires . Ces notaires parcourent Internet à la recherche de certificats, gardant un cache de tous les certificats qu'ils ont vus. Lorsque vous visitez un site pour la première fois et que vous obtenez le certificat, vous demandez à un certain nombre de notaires répartis dans le monde entier quel était le dernier certificat qu'ils ont vu. S'ils ne sont pas d'accord avec ce que vous voyez, vous pourriez faire partie d'une attaque de type "man-in-the-middle".

Dans ce modèle, les certificats auto-signés sont parfaitement sécurisés, à condition que nous supposions le serveur n'est pas immédiatement compromis avant qu'un notaire puisse voir son certificat.

Le modèle du notaire en est encore à ses balbutiements, et il est peu probable qu'il reprenne jamais le modèle CA (en fait, ce n'est pas nécessaire - ils peuvent être utilisés en tandem) . Le projet le plus prometteur à ce jour est Convergence.io, qui dispose d'un plugin pour Firefox.

Réponse plus courte.

Beaucoup de réponses ici, mais aucune ne semble aller droit au but: sans un tiers neutre et reconnu - comme une autorité de certification - vérifiant la propriété du certificat, un certificat est sans signification.

Réponse plus longue.

Pour mieux comprendre, lorsque vous faites quelque chose comme la création d'une connexion HTTPS, vous avez la chaîne suivante:

• Un client Web navigateur faisant la demande au serveur.
• Le serveur Web distant renvoyant les données au client.
• Et un certificat HTTPS autorisé par un tiers neutre qui garantit que le serveur est qui c'est le cas et le chiffrement est valide à cause de cela.

Un certificat auto-signé est intrinsèquement non fiable car n'importe qui peut générer un certificat auto-signé . Toute personne incluant une entité qui prétend délibérément être quelque chose / quelqu'un qu'elle n'est pas. Avec un certificat auto-signé, il n'y a tout simplement pas de tiers de confiance dont les procédures humaines de base sont définies pour indiquer simplement: «D'accord, ce domaine a un certificat que nous leur avons émis et vous pouvez donc leur faire confiance. Nous disons qu’ils sont en fait le domaine qu’on prétend être et non un imposteur. »

Et comme n'importe qui dans le monde peut créer un certificat auto-signé par lui-même, son utilisation présente des problèmes de confiance inhérents. Ce qui rend un certificat valide a très peu à voir avec la technologie profonde ou les techniques de chiffrement , mais ce qui le rend valide, c'est un processus centré sur un tiers neutre et reconnu validant un procédure d'utilisation et les fabricants de navigateurs respectant ces procédures.

En fin de compte, une paire de clés de chiffrement est une pile de bits et d'octets totalement dénuée de sens sans l'application des processus et des procédures qui les entourent .

Les certificats auto-signés ne sont pas fiables, car n'importe qui peut en créer un.

Un attaquant effectuant une attaque MITM pourrait facilement remplacer n'importe quel certificat par un certificat auto-signé one et usurper l'identité de tout site Web sur lequel vous naviguez, même si vous utilisez HTTPS.

C'est pourquoi nous utilisons des autorités de certification de confiance pour nous assurer que les certificats ne peuvent pas être falsifiés.

Nous avons tous besoin d'un peu de contexte.

Il y a une différence entre "non fiable" et sécurisé.

Et "Trusted" n'implique pas nécessairement sécurisé (ou authentique)

Un certificat auto-signé sur un réseau isolé avec un seul serveur et un seul client est probablement plus sécurisé que n'importe quel certificat "de confiance".

Et "de confiance" implique UNIQUEMENT qu'un certificat d'autorité de certification a été ajouté au "Trusted Certificate Store" pour le client. Si le certificat d'autorité de certification a été ajouté pendant une session de "phishing", alors il n'y a rien de sécurisé à propos du certificat.

Je ne suis pas un fan que il y a souvent des centaines d'autorités de certification "de confiance" placées dans le client par "d'autres", mais je ne connais pas non plus de meilleure approche.

Les autorités de certification doivent certainement effectuer un meilleur processus de "vérification" ( en général) qu'ils ne le font actuellement avant de délivrer un certificat.

Toute application doit recevoir la liste des "certificats racine" pour être approuvée.

Dans le cas d'un navigateur, il existe une liste définie qui est fournie par défaut avec n'importe quel navigateur, mais cette liste ne le fait pas contiennent votre certificat.

Imaginez que vous n'ayez pas besoin de donner la liste des certificats en lesquels vous avez confiance, alors n'importe qui pourrait configurer un site Web https qu'un navigateur dans le monde accepterait sans avertissement du risque de sécurité.

D'un autre côté, cela fonctionnerait immédiatement si votre certificat CA est lui-même signé par l'un des certificats de confiance par défaut ... mais vous devez payer.

Il y a suffisamment de réponses pour savoir comment ajouter un certificat CA à la liste de confiance, je vais donc sauter cette partie.

Si vous souhaitez le faire pour les navigateurs, voici les étapes:

Pour Chrome 58+: - Paramètres -> Afficher les paramètres avancés -> Gérer les certificats -> Importer -> parcourir -> choisissez Confiance Autorités de certification racine -> cliquez sur Oui dans la fenêtre contextuelle.