What is an intermediate certificate?
Che cos'è un certificato intermedio?
The root CA or trust anchor has the ability to sign and issue intermediate certificates. Intermediate certificates (also known as intermediate, subordinate, or issuing CAs) provide a flexible structure for conferring the validity of the trust anchor to additional intermediate and end-entity certificates in the chain. In this sense, intermediate certificates serve an administrative function; each intermediate can be used for a specific purpose — such as issuing SSL/TLS or code signing certificates — and can even be used to confer the root CA’s trust to other organizations. Intermediate certificates also provide a buffer between the end-entity certificate and the root CA, protecting the private root key from compromise. For publicly trusted CAs (including SSL.com), the CA/Browser forum’s Baseline Requirements actually prohibit issuing end-entity certificates directly from the root CA, which must be kept securely offline. This means that any publicly trusted certificate’s chain of trust will include at least one intermediate certificate. In the example shown below, SSL.com EV SSL Intermediate CA RSA R3 is the sole intermediate certificate in the SSL.com website's chain of trust. As the certificate's name suggests, it is only used for issuing EV SSL/TLS certificates:
La CA principale o l'ancoraggio di trust ha la capacità di firmare e rilasciare certificati intermedi. Certificati intermedi (noto anche come intermedio, subordinare, o CA emittenti) forniscono una struttura flessibile per conferire la validità del trust anchor ad ulteriori certificati intermedi e di entità finale nella catena. In questo senso, i certificati intermedi svolgono una funzione amministrativa; ogni intermedio può essere utilizzato per uno scopo specifico, come il rilascio di SSL /TLS o certificati di firma del codice - e possono persino essere utilizzati per conferire la fiducia della CA principale nei confronti di altre organizzazioni. I certificati intermedi forniscono anche un buffer tra il certificato dell'entità finale e la CA radice, proteggendo la chiave radice privata dalla compromissione. Per le CA pubblicamente attendibili (incluso SSL.com), il forum CA / Browser Requisiti di base proibisce effettivamente l'emissione di certificati di entità finale direttamente dalla CA radice, che devono essere mantenuti offline in modo sicuro. Ciò significa che la catena di attendibilità di qualsiasi certificato pubblicamente attendibile includerà almeno un certificato intermedio. Nell'esempio riportato di seguito, SSL.com EV SSL Intermediate CA RSA R3 è l'unico certificato intermedio nella catena di attendibilità del sito Web SSL.com. Come suggerisce il nome del certificato, viene utilizzato solo per l'emissione di EV SSL/TLS certificati: