DoDのような組織が独自のルート証明書を使用するのはなぜですか？
米国の軍事および政府のサイトを閲覧しているときに、DoDルート証明書に依存するためのHTTPS接続に気付きました。私たちのほとんどが知っているように、Webブラウザーには、ルート証明機関のデフォルトのセットがプリロードされています。これには、通常、DoD Medium AssuranceおよびClass 3が含まれていません中間および信頼されたルートCAのリストに含まれるルート認証局。その結果、WebブラウザーはDoDを認証局として認識せず、警告に従ってポップアップします。
ほとんどの関連サイトが表示および説明するように（例 http://mrmc.amedd.army.mil/index.cfm?pageid=ssl および/または http：//www.dau .mil/faq/pages/dodcerts.aspx および/または http://www.forge.mil/Faqs.html#faqs14 ）予想される証明書は手動でインストールするか、インストールツールを介して;しかし、それは明らかにユーザーが時間と労力を費やすことを期待している一方で、私が個人的に「ユーザー/クライアント」がそもそもいじくり回す必要があるとは思わないでしょう。特に、ルート証明書のダウンロード（またはインストーラーの使用）は、いくつかの（MitM）攻撃ベクトルに対して開かれているようです。
一見したところ、これは独自のルート証明書を作成し、ユーザーに自己署名入りの証明書をダウンロードしてインストールするように強制するので、それほど大きな違いはないように見えます。通常、これらの線に沿って考えている人々は、それを「安い」と呼んでいますが、私が米軍のサイトについて話しているとき、それが正当な理由であるとは思えません。私は率直に、DoDには確立されたCAから証明書を購入することを妨げるようなお金の問題がないと思います（他の私たちのように）。
これにより、DoDなどの組織が独自のルート証明書を使用している理由を説明できる潜在的な利点は何でしょうか。または–別の角度から見ると–米国国防総省のような組織が、一般的に知られており、使用されている「パブリック」ルートCAに依存する場合、不利な点はありますか？
それらdoは、HTTPS経由で一般に公開されることが予想されるサイトの一般に利用可能なCAルート証明書に依存しています。 1つの顕著な例については、 https://www.army.mil を参照してください。
ただし、DoDには重要な内部CAインフラストラクチャがあり、HTTPS経由での提供がまったく意図されていないサイト（- https://mrmc.amedd.army.mil / の例。HTTPSリクエストは単にhttpに30倍に戻されます）または http://www.dau.mil などのDoD機器の人々による内部使用向けに設計されたサイト認証にもCAC [DoD発行のスマートカード]が必要です）または http://www.forge.mil/ 。