Certyfikat SSL wieloznaczny dla subdomeny drugiego poziomu

Chciałbym wiedzieć, czy jakieś certyfikaty obsługują podwójne symbole wieloznaczne, takie jak *.*.example.com? Właśnie rozmawiałem przez telefon z moim obecnym dostawcą SSL (register.com), a tamta dziewczyna powiedziała, że ​​nie oferują czegoś takiego i że nie sądzi, że to możliwe.

Czy ktoś może mi powiedzieć, czy jest to możliwe i czy przeglądarki to obsługują?

RFC2818 stwierdza:

Jeśli w certyfikacie występuje więcej niż jedna tożsamość danego typu (np. Więcej niż jedna nazwa dNSName, dopasowanie w dowolnym zestawie jest uważane za dopuszczalne). Nazwy mogą zawierać znak wieloznaczny *, który uważa się za pasujący do dowolnego pojedynczego komponent nazwy domeny lub fragment komponentu. Np. * .A.com pasuje do foo.a.com, ale nie do bar.foo.a.com. f * .com odpowiada foo.com, ale nie bar.com.

Internet Explorer zachowuje się w sposób opisany w RFC, gdzie każdy poziom potrzebuje własnego certyfikatu z symbolami wieloznacznymi. Firefox jest zadowolony z pojedynczej * .domain.com, w której * pasuje do wszystkiego przed domeną.com, w tym other.levels.domain.com, ale obsługuje również typy *. *. Domain.com.

Tak więc, aby odpowiedzieć na twoje pytanie: jest to możliwe i obsługiwane przez przeglądarki.

Aby potwierdzić, FF i IE 8 NIE będą akceptować certyfikatów w formularzu, *.*.example.comchociaż technicznie możliwe jest ich utworzenie.

Po wydaniu certyfikatu SSL Wildcard dla domeny * .domain.com możesz zabezpieczyć nieograniczoną liczbę subdomen w domenie głównej.

Na przykład:

• sub1.domain.com
• sub2.domain.com
• sub3.domain.com
• sub * .domena.com

Jeśli certyfikat SSL Wildcard jest wydawany na * .sub1.domain.com, w takim przypadku możesz zabezpieczyć wszystkie subdomeny drugiego poziomu wymienione w sub1.domain.com

Na przykład:

• aaa.sub1.domain.com
• bbb.sub1.domain.com
• ccc.sub1.domain.com
• ***. sub1.domain.com

Jeśli chcesz zabezpieczyć ograniczoną liczbę subdomen i domen drugiego poziomu, możesz wybrać wielodomenowy protokół SSL, który może zabezpieczyć do 100 nazw domen za pomocą jednego certyfikatu.

Na przykład:

• domena.com
• sub1.domain.com
• aaa.sub2.domain.com
• domena2.net
• domena3.org

Powinieneś znać swoje aktualne wymagania, aby wybrać certyfikat SSL.

Może to być warte nowej rundy testów z obecnymi wersjami przeglądarki.

Moje osobiste szybkie sprawdzenie powoduje: Firefox 20.0.1 nadal nie obsługuje tego. To pokazuje:

Ten certyfikat jest ważny tylko na *. *. Mydomain.com

... podczas surfowania na https://svn.project.mydomain.com .

Internet Explorer 9.0:

Certyfikat tej strony został sporządzony na inny adres

Uwagi:

• Oba stwierdzenia przetłumaczone przeze mnie z niemieckiego na angielski. Prawdopodobnie nie użyłem tych samych zwrotów, jakie pokazywałyby angielskie wersje przeglądarki.
• Użyłem samopodpisanego certyfikatu. Co spowodowało, że przeglądarki wyświetlały dodatkowe zdanie ostrzegawcze. Zakładam, że powyższe cytaty byłyby również wyświetlane z zaufanym wystawcą certyfikatu. Sprawdzenie, czy było to poza zakresem mojej „szybkiej kontroli”.

Właśnie przeprowadzałem badania na ten temat, ponieważ mam te same wymagania, aby zabezpieczyć subdomeny, i znalazłem rozwiązanie od DigiCert.

Te certyfikaty mówi, że będzie wspierać yourdomain.com, *.yourdomain.com, *.*.yourdomain.comi tak dalej.

Obecnie jest to dość drogie, ale mamy nadzieję, że inni dostawcy zaczną oferować podobne certyfikaty i obniżą ceny.

Wszystkie odpowiedzi tutaj są nieaktualne lub nie są w pełni poprawne, nie biorąc pod uwagę RFC 6125 z 2011 roku.

Według RFC 6125 tylko jeden symbol wieloznaczny jest dozwolony w najbardziej lewym fragmencie.

Ważny:

*.sub.domain.tld
*.domain.tld

Nieważny:

sub.*.domain.tld
*.*.domain.tld
domain.*
*.tld
sub.*.*

Fragment, zwany także „etykietą”, jest składnikiem zamkniętym, np .: *.com(2 etykiety) nie pasuje label.label.com(3 etykiety) - zostało to już zdefiniowane w RFC 2818.

Przed 2011 r. W RFC 2818 ustawienie nie było w pełni jasne:

Specyfikacje istniejących technologii aplikacji nie są jasne ani spójne co do dopuszczalnej lokalizacji znaku wieloznacznego.

Zmieniło się to w przypadku RFC 6125 od 2011 r. (6.4.3):

Klient NIE POWINIEN próbować dopasować prezentowanego identyfikatora, w którym znak wieloznaczny zawiera etykietę inną niż etykieta znajdująca się najdalej z lewej strony (np. Nie pasuje do paska. *. Example.net).

chociaż nie zastanawiam się nad twoim pytaniem, akurat przed chwilą coś o tym przeczytałem:

https://www.instantssl.com/articles/can-you-create-a-wildcard-ssl-certificate-for-two-levels.php

to wyjaśnia, że ​​nie można użyć podwójnej gwiazdki

Edytować

Dodaj część cytatu na wypadek, gdyby strona uległa awarii lub jest za długa, aby ją przeczytać

To, co nie jest możliwe, to próba pokrycia zarówno subdomen poczty mail.xyz.com, jak i photos.xyz.com za pomocą jednego symbolu wieloznacznego. Urząd certyfikacji lub urząd certyfikacji może dostarczyć certyfikat SSL tylko z jednym (*). Nie można wygenerować żądania podpisania certyfikatu, które wyglądałoby . .xyz.com, aby spróbować objąć więcej niż jedną grupę subdomen drugiego poziomu.

Powód dlaczego

Powodem, dla którego nie ma certyfikatu SSL „podwójna karta wieloznaczna”, jest to, że symbol zastępczy, gwiazdka, może zastąpić tylko jedno pole w nazwie przesłanej do urzędu certyfikacji. W końcu urząd certyfikacji musi zweryfikować wszystkie informacje, a zbyt wiele zmiennych w certyfikacie obniżyłoby bezpieczeństwo i pewność zapewnione przez certyfikat.

Ponadto, co jest ważne także dla menedżerów IT i właścicieli witryn, bezpieczeństwo wewnętrzne nie może być tak łatwo naruszone. Należy pamiętać, że wszelkie problemy z bezpieczeństwem po wdrożeniu certyfikatu SSL są znacznie bardziej prawdopodobne z wewnętrznego naruszenia bezpieczeństwa, w którym osoba mająca dostęp do klucza prywatnego i certyfikatu może założyć stronę internetową poddomeny, która jest faktycznie objęta SSL.

Możesz zrobić coś takiego jak * .domain.com, a następnie * .www.domain.com lub * .mail.domain.com. Nigdy nie widziałem *. *. Domain.com w witrynie produkcyjnej.

Możesz otrzymać symbol wieloznaczny (* .domain.com), ale będziesz także potrzebować * .www.domain.com jako alternatywnego wpisu nazwy podmiotu, aby to zadziałało. Jedyne znane mi firmy to ssl.com i digicert. Mogą być inni, ale nie jestem pewien.