SSCD-сертифікат Wildcard для субдомену другого рівня

Мені хотілося б знати, чи підтримують якісь сертифікати подвійну маску *.*.example.com? Я щойно телефонував у свого поточного постачальника послуг SSL (register.com), і дівчина там сказала, що вони нічого подібного не пропонують, і вона так і не думала, що це можливо.

Хтось може мені сказати, чи це можливо, і чи підтримують браузери?

RFC2818 заявляє:

Якщо в сертифікаті присутній більше однієї ідентичності даного типу (наприклад, більше одного імені dNSName, відповідність у будь-якому з наборів вважається прийнятною.) Імена можуть містити символ підстановки *, який вважається таким, що відповідає будь-якому одному компонент або фрагмент доменного імені. Наприклад, * .a.com відповідає foo.a.com, але не bar.foo.a.com. f * .com відповідає foo.com, але не bar.com.

Internet Explorer поводиться так, як це було визначено RFC, де кожному рівню потрібен власний сертифікований сертифікат. Firefox задоволений одним * .domain.com, де * відповідає будь-якому перед доменом.com, включаючи other.levels.domain.com, але також буде працювати з типами *. *. Domain.com також.

Отже, щоб відповісти на ваше запитання: це можливо і підтримується браузерами.

Тільки для підтвердження FF та IE 8 НЕ приймають сертифікати у формі, *.*.example.comхоча технічно їх створити неможливо.

Коли сертифікат Wildcard SSL видається для * .domain.com, ви можете захистити необмежену кількість субдоменів над основним доменом.

Наприклад:

• sub1.domain.com
• sub2.domain.com
• sub3.domain.com
• sub * .domain.com

Якщо сертифікат Wildcard SSL видається на * .sub1.domain.com, у цьому випадку ви можете захистити всі субдомени другого рівня, які перелічені під sub1.domain.com

Наприклад:

• aaa.sub1.domain.com
• bbb.sub1.domain.com
• ccc.sub1.domain.com
• ***. sub1.domain.com

Якщо ви хочете захистити обмежену кількість субдоменів та доменів другого рівня, ви можете вибрати багатодоменний SSL, який може захистити до 100 імен домену одним сертифікатом.

Наприклад:

• domain.com
• sub1.domain.com
• aaa.sub2.domain.com
• domain2.net
• domain3.org

Ви повинні знати свої фактичні вимоги, щоб вибрати сертифікат SSL.

Це може коштувати нового раунду тестів з поточними версіями браузера.

Мої особисті результати швидкої перевірки: Firefox 20.0.1, здається, все ще не підтримує це. Це показує:

Цей сертифікат дійсний лише для *. *. Mydomain.com

... при серфінгу на https://svn.project.mydomain.com .

Internet Explorer 9.0:

Сертифікат цього веб-сайту був зроблений на іншу адресу

Примітки:

• Обидва твердження перекладені мною з німецької на англійську. Напевно, я не використовував ті самі фрази, як показали б версії англійського браузера.
• Я використовував самопідписаний сертифікат. Що призвело до того, що браузери показали додаткове попередження. Я припускаю, що наведені вище цитати також відображатимуться з надійним емітентом сертифікатів. Перевірка цього вийшла за межі моєї "швидкої перевірки".

Я просто робив деякі дослідження з цього приводу, оскільки у мене є ті ж вимоги, щоб захистити піддомени, і я натрапив на рішення від DigiCert.

Ці сертифікати кажуть , що це буде підтримувати yourdomain.com, *.yourdomain.com, *.*.yourdomain.comі так далі.

Наразі це досить дорого, але сподіваємось, що інші провайдери почнуть пропонувати подібні сертифікати та знижувати ціни.

Усі відповіді тут застаріли або не повністю коректні, не враховуючи RFC 6125 від 2011 року.

Згідно з RFC 6125 , в самому лівому фрагменті допускається лише одна підстановка.

Дійсний:

*.sub.domain.tld
*.domain.tld

Недійсний:

sub.*.domain.tld
*.*.domain.tld
domain.*
*.tld
sub.*.*

Фрагмент, або його також називають "мітка", є закритим компонентом, наприклад: *.com(2 мітки) не збігаються label.label.com(3 мітки) - це вже визначено в RFC 2818.

До 2011 року в RFC 2818 налаштування було не зовсім зрозумілим:

Технічні умови для існуючих технологій застосування не є чіткими або несумісними щодо допустимого розташування символів підстановки.

Це змінилося з RFC 6125 з 2011 року (6.4.3):

Клієнт НЕ повинен намагатися зіставити представлений ідентифікатор, у якому символ підстановки містить мітку, відмінну від самої лівої лівої (наприклад, не відповідає рядку. *. Example.net).

хоча я не розглядаю ваше запитання, мені просто трапилось щось прочитати про нього хвилин тому:

https://www.instantssl.com/articles/can-you-create-a-wildcard-ssl-certificate-for-two-levels.php

це пояснює, що ви не можете використовувати подвійну зірочку

Редагувати

Додайте частину цитати на випадок, якщо веб-сайт не працює або читати його занадто довго

Що неможливо - спробувати охопити як субдомени mail.xyz.com, так і photos.xyz.com одним Wildcard. Агентство сертифікації та сертифікатів може надати сертифікат SSL лише одним (*). Не вдалося створити запит на підписання сертифіката, який виглядав так . .xyz.com, щоб спробувати охопити більш ніж одну піддоменну групу другого рівня.

Причина чому

Причини, по яких неможливо мати сертифікат SSL "подвійної підстановки", полягає в тому, що заповнювач, зірочка, може містити лише одне поле в імені, поданому до CA. Зрештою, КА повинен перевірити всю інформацію, і занадто багато змінних у сертифікаті знизили б безпеку та впевненість, які надає сертифікат.

Крім того, і це важливо і для ІТ-менеджерів, і для власників веб-сайтів, внутрішня безпека не може бути порушена так легко. Майте на увазі, що будь-які проблеми із безпекою після наявності сертифіката SSL набагато частіше трапляються через порушення внутрішнього захисту, коли хтось із доступом до приватного ключа та сертифікату може створити веб-сайт піддомену, який фактично охоплюється SSL.

Можна зробити щось на кшталт * .domain.com, а потім * .www.domain.com або * .mail.domain.com. Я ніколи не бачив *. *. Domain.com на виробничому сайті.

Ви можете отримати підстановку (* .domain.com), але вам також знадобиться * .www.domain.com як альтернативний запис імені предмета, щоб це працювало. Єдині компанії, які я знаю, пропонують це - ssl.com та digicert. Можуть бути й інші, але я не впевнений.