подстановочный знак ssl на субдомене [закрыто]

146

Закрыто. Этот вопрос не по теме . В настоящее время он не принимает ответы.

Хотите улучшить этот вопрос? Обновите вопрос, чтобы он соответствовал теме переполнения стека.

Закрыто 7 лет назад .

у нас есть подстановочный сертификат ssl для * .domain.com, и у нас есть веб-сайт с sub1.sub2.domain.com

Safari 4.0.4 в MacOsx выдает ошибку сертификата (предположительно из-за интерпретации с подстановочными знаками), а safari 4 в Windows - нет.

также поведение ie8 в лучшем случае смешанное, некоторые ie8 не отображают ошибку сертификата, а некоторые нет.

Что вызывает это странное поведение в Safari и IE?

ssl-certificate wildcard-subdomain

— Porto Alet
источник

только что понял эту проблему после покупки нового 2-х летнего сертификата ...

— Рафа

Ответы:

192

Сертификат SSL с подстановочными знаками для * .example.net будет соответствовать sub.example.net, но не будет sub.sub.example.net .

Из RFC 2818 :

Сопоставление выполняется с использованием правил сопоставления, указанных в RFC2459 . Если в сертификате присутствует более одного идентификатора данного типа (например, более одного имени dNSName, совпадение в любом из набора считается приемлемым). Имена могут содержать подстановочный знак, *который считается совпадающим с любым отдельным доменом Назовите компонент или фрагмент компонента. Например, *.a.comсоответствует, foo.a.comно нет bar.foo.a.com. f*.comсоответствует, foo.comно нет bar.com.

— Элиас Торрес Арройо
источник

@ Крис Я так не думаю, существуют различные технические факторы, которые ограничивают такое правило и вынуждают центры сертификации соответствующим образом разрабатывать сертификат безопасности.

@sophie различные технические факторы, например, кто-то понял, что выгоднее продавать бесконечные сертификаты, чем позволить одному сертификату охватывать каждый сценарий до бесконечности.

— Крис Марисик

См. Blackhat.com/presentations/bh-dc-09/Marlinspike/… слайд 91 для возможной угрозы безопасности с подстановочными сертификатами. Также см. Media.blackhat.com/bh-ad-10/Hansen/… слайд 38.

— Карл

@ user1602478: что это за технические факторы?

— иконоборчество

Вы *.*.example.comможете защитить субдомены первого и второго уровня?

— Шейн Роватт

Если вам нужен подстановочный сертификат, содержащий сайты * .domain.com, а также работающий с sub1.sub2.domain.com или другим доменом, например * .domain2.com, вы можете решить это с помощью одного подстановочного сертификата с тем, что называется субъектом. расширение альтернативного имени (SAN) для каждого из других субдоменов. Сертификат SAN предназначен не только для нескольких конкретных имен хостов, он также может быть создан для записей с подстановочными знаками.

Например, * .domain.com, sub1.sub2.domain.com и * .domain2.com будут иметь общее имя * .domain.com, тогда вы можете присоединить альтернативное имя субъекта как * .domain2.com, так и * .sub2.domain.com. Это может зависеть от центра сертификации от того, как они будут взимать с вас (или нет) плату за сертификат, но есть некоторые, где это предложение доступно. Кроме того, поддержка SAN довольно широко распространена в пространстве веб-браузера. Лучший реальный пример такого использования - сертификат SSL от Google. Откройте Google и просмотрите его SSL-сертификат. Вы увидите, что он работает для * .google.com, * .youtube.com, * .gmail.com и многих других, где они указаны в качестве альтернативных имен субъектов.

— RobLL
источник

Каковы примеры центров сертификации, которые будут выдавать такие сертификаты?

— Арто Бендикен

Таким образом, возможно ли получить сертификат для *.DOMAIN.COMэтого, который имеет SAN для *.*.DOMAIN.COM(и, возможно, *.*.*.DOMAIN.COM) для покрытия этих субдоменов и субдоменов?

— Саймон Ист

@SimonEast невозможно.

— Ник

Это должен быть принятый ответ. @ Ник, зайдите на sslshopper.com/ssl-checker.html#hostname=google.com и посмотрите раздел SAN

— Нехал Дж Вани

@NehalJWani что я должен искать?

— Ник

Подстановочный знак применяется только к первой части (слева) вашего домена. Так что вам понадобится сертификат для * .sub2.domain.com

Если вы имели в виду, что у вас есть sub1.domain.com и sub2.domain.com, то это должно работать.

— ОКГ
источник