Есть ли причина безопасности не использовать подстановочный сертификат, кроме управляемости и эксплуатации, если он используется на нескольких серверах?

У меня есть консультант по безопасности, который говорит мне, что мы не можем использовать SSL-сертификаты с подстановочными знаками по соображениям безопасности. Чтобы было ясно, я предпочитаю использовать одиночные или многодоменные сертификаты (SAN). Однако нам нужен сервер (plesk) для сервера сотен поддоменов.

Основываясь на моих исследованиях, главная причина, по которой люди не используют подстановочные знаки, заключается в следующем: verisign:

Безопасность: если один сервер или поддомен скомпрометирован, все поддомены могут быть скомпрометированы.
Управление. Если необходимо отозвать подстановочный сертификат, всем поддоменам потребуется новый сертификат.
Совместимость: подстановочные сертификаты могут не работать без проблем со
старыми конфигурациями сервер-клиент.
Защита: SSL-сертификаты VeriSign Wildcard не защищены расширенной гарантией NetSure.

Поскольку закрытый ключ, сертификат и поддомен будут существовать на одном сервере ... замена будет такой же простой, как замена одного сертификата, и будет влиять на такое же количество пользователей. Следовательно, есть ли другая причина не использовать подстановочный знак?

security ssl https

— Серая раса
источник

Линия всегда серая, но больше для вашей выгоды это может очень хорошо подходить для IT Security SE. У этих ребят тоже будет отличная информация. Просто мысль.

— Univ426

Могут ли несколько поддоменов (хосты в одном домене) использовать один и тот же IP-адрес в домене с подстановочными знаками? Я никогда не проверял это раньше, но если бы они могли, это было бы оправданием для использования сертификата с подстановочными знаками, чтобы избежать необходимости использовать так много IP-адресов. В противном случае я вижу в этом сохранение стоимости сертификата в обмен на диск, подверженный риску (выше, если он распространяется на многие машины).

— Skaperen

@Skaperen, да, с помощью группового сертификата, вы можете разместить множество разных сайтов на одном IP.

— Zoredache

Помните, что IP-адрес не отображается в сертификате SSL.

— Стефан Ласевский

Советник по безопасности смягчился, когда я представил свое дело, и он не смог найти вескую причину для этого, поскольку мы выделили это для одного сервера / службы.

— Серая гонка

Ответы:

Единственное, что мне известно, - это то, что сертификаты расширенной проверки нельзя выдавать с подстановочными знаками , так что это не вариант, если вы собираетесь получить сертификат EV.

С точки зрения безопасности вы попали в точку - один закрытый ключ защищает все домены, которые находятся под групповым символом. Так, например, если у вас был многодоменный сертификат SAN, который покрывал www.example.comи something.example.comподвергался риску, только эти два домена подвергаются риску атаки с помощью скомпрометированного ключа.

Однако, если та же система была вместо запуска *.example.comсертификата для SSL трафика ручки для wwwи somethingсубдоменов и были скомпрометированы, то все покрыто что подстановочные потенциально подвержены риску, даже услуги не размещалось непосредственно на этом сервере - скажем, webmail.example.com.

— Шейн Мэдден
источник

Не правда ли, что некоторые центры сертификации предлагают способ создания множества сертификатов для одного и того же подстановочного знака? Другими словами, они допускают много разных пар секретного / открытого ключа для сертификата подстановочного знака одного домена, так что один скомпрометированный закрытый ключ не создает проблем для других.

— Дэвид Сандерс

Безопасность: если один сервер или поддомен скомпрометирован, все поддомены могут быть скомпрометированы.

Если вы используете один веб-сервер для своих сотен виртуальных хостов, тогда все закрытые ключи должны быть доступны для чтения этим процессом веб-сервера. Если человек может скомпрометировать систему до такой степени, что он может прочитать один ключ / сертификат, то он, вероятно, уже скомпрометировал систему до такой степени, что он может получить все закрытые ключи / сертификаты, используемые этим веб-сервером.

Ключи, как правило, хранятся в файловой системе с привилегиями, которые разрешают только root доступ к ним. Так что если ваша система рутирована, то вы, вероятно, потеряли все. Не имеет значения, есть ли у вас один сертификат или много.

Управление. Если необходимо отозвать подстановочный сертификат, всем поддоменам потребуется новый сертификат.

Если вы используете подстановочный знак для * .example.org, вам нужно заменить только один сертификат. Если у вас есть сертификат для one.example.org, two.example.org и three.example.org, вам необходимо заменить 3 сертификата. Так что подстановочный сертификат - это меньше работы. Так что да, этот сертификат будет отозван и заменен, но поскольку вам нужно заменить только один вместо сотен, это должно быть очень просто.

Совместимость: подстановочные сертификаты могут не работать без проблем со старыми конфигурациями сервер-клиент.

Эти системы почти наверняка нуждаются в обновлении. У них почти наверняка есть много других уязвимостей.

— Zoredache
источник