(यह एक पुराने प्रश्न का नया उत्तर है क्योंकि मेरा मानना है कि यह समझने में मदद करता है कि प्रमाणपत्र और सीए के पीछे कोई "जादू" नहीं है)
@Steffen Ullrich द्वारा दिए गए स्वीकृत उत्तर के विस्तार के रूप में
वेबसाइटों की पहचान करने के लिए संपूर्ण प्रमाण पत्र सिर्फ एक बड़ा धन व्यापार है। R505280 द्वारा X509 प्रमाणपत्र (दूसरों के बीच) परिभाषित किए गए हैं और कोई भी व्यक्ति सीए या इंटरमीडिएट सीए हो सकता है, यह सब उस इकाई के बारे में आपके द्वारा किए गए भरोसे पर निर्भर करता है।
उदाहरण: यदि आप एक सक्रिय निर्देशिका डोमेन में हैं, तो आपका प्राथमिक डोमेन नियंत्रक डिफ़ॉल्ट रूप से एक विश्वसनीय रूट प्रमाणन प्राधिकरण है। इस बीच, पूरी तरह से कोई अन्य तृतीय-पक्ष शामिल नहीं है।
व्यापक इंटरनेट पर, यह मुद्दा "आप किस पर भरोसा कर सकते हैं" की पहचान करना है क्योंकि यह सिर्फ एक कंपनी की तुलना में बहुत बड़ा है। और इसलिए, ब्राउज़र विक्रेता रूट सीए की एक मनमानी सूची प्रदान करते हैं कि यह आपकी सहमति के बिना संकेत के बिना भरोसा करेगा।
Ie: यदि आपका मोज़िला फाउंडेशन के साथ बहुत अच्छा संबंध है, तो अपने स्वयं के मनमाने ढंग से स्व-हस्ताक्षरित रूट CA को उनके फ़ायरफ़ॉक्स ब्राउज़र की अगली रिलीज़ पर उस सूची में जोड़ा जा सकता है ... सिर्फ इसलिए कि उन्होंने यह फैसला किया है!
इसके अलावा, कोई भी आरएफसी नहीं है जो प्रमाणपत्रों के संबंध में ब्राउज़रों के व्यवहार और नियमों को परिभाषित करता है। यह एक निहित सहमति है कि क्योंकि प्रमाणपत्र का "सीएन" डोमेन नाम के बराबर है, जो कि मिलान करने वाला है।
क्योंकि यह किसी बिंदु पर पर्याप्त नहीं था, ब्राउज़र विक्रेताओं ने सभी अनुमान लगाया कि फॉर्म का एक वाइल्डकार्ड प्रमाणित प्रमाणपत्र *.domain.comकिसी भी अन्य व्यवसाय से मेल खाएगा। लेकिन यह केवल एक स्तर से मेल खाता है: नहीं, ऐसा sub.sub.domain.comक्यों है? क्योंकि उन्होंने सिर्फ इतना तय किया।
अब आपके मूल प्रश्न के बारे में, क्या इस बात को रोकता है कि आपके प्राथमिक डोमेन प्रमाणपत्र को आपके स्वयं के उप-डोमेन के लिए उप-प्रमाणपत्र बनाने की अनुमति दी जाए, जो कि ब्राउज़र के लिए जाँच करने के लिए एक आसान प्रक्रिया है, बस प्रमाणपत्र श्रृंखला प्राप्त करना है।
जवाब है: कुछ नहीं
(इसके अलावा तकनीकी रूप से आपके पास ऐसा करने के लिए अपने स्वयं के डोमेन प्रमाणपत्र में "ध्वज" होना चाहिए)
ब्रदर्स विक्रेताओं, अगर उन्हें यह सुविधाजनक लगता है, तो वे इसका समर्थन करने का निर्णय ले सकते हैं।
हालांकि, अपने पहले बयान पर वापस, यह बड़ा पैसा कारोबार है। इसलिए जो कुछ रूट सीए ब्राउज़र विक्रेताओं के साथ समझौते करते हैं, वे उस सूची में दिखाई देने के लिए बड़ी मात्रा में पैसा खर्च कर रहे हैं। और आज, उन्हें वह पैसा वापस मिल जाता है क्योंकि आपको प्रत्येक व्यक्तिगत उपडोमेन प्रमाण पत्र के लिए भुगतान करना पड़ता है या एक वाइल्डकार्ड मिलता है जो बहुत अधिक महंगा होता है। यदि वे आपको अपना उप-प्रमाण पत्र बनाने की अनुमति देते हैं, तो इससे उनके लाभ में भारी कटौती होगी। इसलिए यह आज की तरह है, आप ऐसा नहीं कर सकते।
खैर, आप अभी भी कर सकते हैं, क्योंकि यह कड़ाई से मान्य x509 प्रमाण पत्र होगा, लेकिन कोई भी ब्राउज़र इसे नहीं पहचानता।