Självsignerade certifikat?

Ett självsignerat certifikat är lika säkert som ett signerat, men vad du bör använda handlar ju mycket om HUR du använder certifikatet. Är det för att sätta upp en säker länk mellan två datorer på ditt interna nätverk kvittar det ju lika, vänder man sig mot kunder så ska du ha ett signerat.

Du kan ju kolla in om https://letsencrypt.org/sv/ har något för dig.

Beror på vilken aspekt av säkerhet du är intresserad av.
Som skydd mot tredje-parts angripare så spelar det inte så stor roll vem som signerat ett certifikat - krypteringen är lika svår att knäcka oavsett.
Det principiella problemet med självsignerade certifikat är att besökare inte kan verifiera vem som ligger bakom certifikatet. Är det istället signerat av en CA (Certificate Authority) så garanterar de (i teorin) att ägaren till certifikatet är den de utger sig för att vara.
I praktiken så är en del CA så pass slarviga med att verifiera vems certifikat de signerar att man inte riktigt kan lita på dessa garantier.

För den som äger certifikatet är det alltså samma säkerhet oavsett - det är utomstående som kan (ska) vara misstänksamma mot självsignerade certifikat.

För att vara pedantisk, SHA är inte kryptering utan hashfunktioner.
https://en.wikipedia.org/wiki/Secure_Hash_Algorithms

Just så gör BankID och dom upptäcker hos t.ex. arbetsgivare som utfärdar certifikat för varje sajt man försöker surfa in på för att se all krypterad data men utan att webbläsaren/e-postklienten gnäller eftersom arbetsgivaren har utfärdat ett CA till alla klienter som säger att mellanhanden är OK,

men BankID gnäller direkt eftersom dom kör självsignerat och kräver att servern har en viss exakt privat nyckel tillgänglig.

Det där skulle jag kalla ”certificate pinning” och inget annat. Det i sig har inget att göra med vem som signerat certet. Man hårdkokar helt enkelt applikationen till att bara acceptera en viss publik nyckel eller något man entydigt kan derivera från den publika nyckeln.

Jag är rätt säker på att bank-id inte alls använder sig av självsignerade cert i strikt mening, varken vid serverkommunikationen eller i de signaturer och inloggningar man kan göra med Bank-id.

Ett självsignerat cert är ett cert signerat av sig självt, inte av en CA.

Även om man skapar sina egna cert kan man vilja skapa en rot-CA som har ett självsignerat cert och sedan skapa cert som man faktiskt använder, som är signerade av rot-CA-certet. Eventuellt med ”intermediate CAs” mellan dessa. Sedan räcker det att man litar på den egenskapade CA:n för att alla dess utfärdade cert ska betraktas som pålitliga.

Det är så middleboxes som knäcker HTTPS på företag fungerar, ett rot-CA-cert distribueras i AD:t och läggs in på varje maskin för att betraktas som pålitlig. Middleboxen utfärdar falska cert on the fly och signerar dessa med rot-CA-certet. Ovanstående fungerar inte rakt av med Firefox, som har sin egen cert store. Framtida Chrome kommer sluta använda Windows cert store.