Root-CA verteilt Zertifikate an Clients

[roxor 10]

hi leute

 

hab mal ne sicherheitstechnische frage bezüglich root-ca's bzw. subordinate CA.

 

hab mal OWA mit SSL implementiert und da einen enterprise root CA gemacht, wie in nem tut beschrieben.

Somit stellt die enterprise root CA zertifikate aus...eines hat unter anderem auch mein exchange bei ihr angefragt.

 

jetzt hab ich aber in den whitepapers von MS gelesen, dass es sicherheitstechnisch besser wäre, wenn eine subordinate CA zertifikate austeilt.

 

WAS ist dann genau der unterschied zwischen einem zertifikat von einer root-ca und einer subordinate ca? und worin liegt das sicherheitsrisiko?

 

dass die subordinate-ca nur zertifikate bei der root-ca requesten kann ist mir klar aber nicht, was der genaue unterschied des zertifikats selber ist?

 

kann mir da jemand klarheit verschaffen?

 

mfg

rox