子子域上的通配符ssl [关闭]

146

我们拥有* .domain.com的通配ssl证书，并且拥有一个带有sub1.sub2.domain.com的网站

MacOsx上的safari 4.0.4会弹出证书错误（可能是由于通配符解释），而Windows上的safari 4则不会。

ie8的行为也充其量是混杂的，有些ie8不显示证书错误，有些则不显示。

是什么导致Safari和IE出现这种奇怪的行为？

ssl-certificate wildcard-subdomain

— 波尔图阿莱特
source

在购买新的2年证书后才意识到这个问题...

— 拉法2012年

Answers:

192

* .example.net的通配符SSL证书将匹配sub.example.net，但不匹配sub.sub.example.net。

从RFC 2818：

使用RFC2459指定的匹配规则执行匹配。如果证书中存在一个以上给定类型的标识（例如，一个以上的dNSName名称，则认为该集合中的任何一个都可接受）。名称可能包含通配符*，该通配符被认为与任何单个域匹配命名组件或组件片段。例如，*.a.com匹配foo.a.com但不匹配bar.foo.a.com。f*.com匹配foo.com但不匹配bar.com。

— 埃里亚斯·托雷斯·阿罗约
source

@Chris我不这么认为，有多种技术因素限制了这种规则，并迫使证书颁发机构相应地开发安全证书。

@sophie涉及各种技术因素，就像有人意识到出售无限证书要比允许一张证书覆盖每一个无限大的方案更有利可图。

— 克里斯·马里西奇

有关通配符证书可能存在的安全威胁，请参阅blackhat.com/presentations/bh-dc-09/Marlinspike/…幻灯片91。另请参见media.blackhat.com/bh-ad-10/Hansen/…幻灯片38。–

— 卡尔，

@ user1602478：这些技术因素是什么？

— iconoclast 2014年

您是否*.*.example.com必须保护第一级和第二级子域？

— Shane Rowatt

如果您需要一个包含* .domain.com网站的通配符证书，并且还可以与sub1.sub2.domain.com或其他域（例如* .domain2.com）一起使用，则可以使用一个带有主题的单个通配符证书来解决该问题。每个其他子子域的备用名称（SAN）扩展。SAN证书不仅用于多个特定的主机名，还可以为通配符条目创建它。

例如，*。domain.com，sub1.sub2.domain.com和* .domain2.com将具有* .domain.com的通用名称，然后您将附加一个主题替代名称* .domain2.com和* .sub2.domain.com。关于他们如何向您收取（或不收取）证书费用，可能取决于证书颁发机构，但是有一些可用的产品。同样，SAN在Web浏览器空间中的支持非常广泛。现实中最好的例子就是Google的SSL证书。打开Google并查看其SSL证书，您会看到它适用于* .google.com，*。youtube.com，*。gmail.com，还有更多用于主题替代名称的名称。

— 罗伯
source

颁发此类证书的CA的例子有哪些？

— Arto Bendiken

那么是否有可能获得*.DOMAIN.COM具有SAN 的证书*.*.DOMAIN.COM（可能*.*.*.DOMAIN.COM）来覆盖这些子子域和子子域？

— 西蒙·伊斯特

@SimonEast不可能。

— 尼克

这应该是公认的答案。@Nick，去sslshopper.com/ssl-checker.html#hostname=google.com看一看在SAN部分

— NehalĴ迩

@NehalJWani我应该找什么？

— 尼克

通配符仅应用于域的第一部分（从左侧开始）。因此，您需要* .sub2.domain.com的证书

如果您的意思是拥有sub1.domain.com和sub2.domain.com，那么它应该可以工作。

— 杂物
source