У меня есть советник по безопасности, который говорит мне, что мы не можем использовать SSL-сертификаты с подстановочными знаками по соображениям безопасности. Для ясности, я предпочитаю использовать одиночные сертификаты или мультидоменные сертификаты (SAN). Однако у нас есть потребность в сервере (plesk) для сервера 100 поддоменов.
Основываясь на моем исследовании, основная причина, по которой сайт людей не использует подстановочные знаки, заключается в следующем, который, по-видимому, исходит от verisign:
Поскольку закрытый ключ, сертификат и поддомен будут существовать на одном сервере ... замена будет такой же простой, как замена этого сертификата и повлияет на то же количество пользователей. Следовательно, есть ли еще одна причина не использовать сертификат с подстановочными знаками?
Единственная другая проблема, о которой я знаю, это то, что Сертификаты расширенной проверки не могут быть выпущены с подстановочным знаком., так что это не вариант, если вы собираетесь получить сертификат электромобиля.
Что касается безопасности, вы попали в точку - один закрытый ключ защищает все домены, которые находятся под шаблоном. Так, например, если у вас есть сертификат SAN с несколькими доменами, который покрывает www.example.com и something.example.com будут скомпрометированы, только эти два домена подвержены риску атаки с использованием скомпрометированного ключа.
Однако, если бы эта же система вместо этого запускала *.example.com сертификат для обработки SSL-трафика для www и something поддомены и были скомпрометированы, то все, что покрывается этим подстановочным знаком, потенциально подвергается риску, даже сервисы, не размещенные непосредственно на этом сервере - скажем, webmail.example.com.
Безопасность: если один сервер или субдомен скомпрометирован, все субдомены могут быть скомпрометированы.
Если вы используете один веб-сервер для сотен виртуальных хостов, тогда все закрытые ключи должны быть доступны для чтения этому процессу веб-сервера. Если человек может скомпрометировать систему до такой степени, что он может прочитать один ключ / сертификат, то он, вероятно, уже скомпрометировал систему до точки, где он может захватить все закрытые ключи / сертификаты, используемые этим веб-сервером.
Ключи обычно хранятся в файловой системе с привилегиями, которые разрешают доступ к ним только root. Так что если ваша система рутирована, вы, вероятно, все потеряли. На самом деле не имеет значения, есть ли у вас один или несколько сертификатов.
Управление: Если необходимо отозвать групповой сертификат, всем поддоменам потребуется новый сертификат.
Если вы используете подстановочный знак для * .example.org, вам нужно заменить только один сертификат. Если у вас есть сертификат для one.example.org, two.example.org и three.example.org, вам необходимо заменить 3 сертификата. Таким образом, групповой сертификат - это меньше работы. Так что да, этот сертификат будет отозван и заменен, но поскольку вам нужно заменить только один, а не сотни, это должно быть очень легко.
Совместимость: сертификаты с подстановочными знаками могут не работать без проблем со старыми конфигурациями сервер-клиент.
Эти системы почти наверняка нуждаются в обновлении. У них почти наверняка есть много других уязвимостей.