Wildcard-SSL-Zertifikat für Subdomain der zweiten Ebene

Ich möchte wissen, ob Zertifikate einen doppelten Platzhalter wie unterstützen *.*.example.com. Ich habe gerade mit meinem derzeitigen SSL-Anbieter (register.com) telefoniert und das Mädchen dort sagte, dass sie so etwas nicht anbieten und dass sie es sowieso nicht für möglich hielt.

Kann mir jemand sagen, ob dies möglich ist und ob Browser dies unterstützen?

RFC2818 besagt:

Wenn mehr als eine Identität eines bestimmten Typs im Zertifikat vorhanden ist (z. B. mehr als ein dNSName-Name), wird eine Übereinstimmung in einem der Sätze als akzeptabel angesehen. Namen können das Platzhalterzeichen * enthalten, das als übereinstimmend mit einem einzelnen angesehen wird Domänennamenskomponente oder Komponentenfragment. ZB * .a.com stimmt mit foo.a.com überein, nicht jedoch mit bar.foo.a.com. f * .com stimmt mit foo.com überein, jedoch nicht mit bar.com.

Internet Explorer verhält sich wie im RFC beschrieben, wobei jede Ebene ein eigenes Zertifikat mit Platzhalterzeichen benötigt. Firefox ist mit einem einzigen * .domain.com zufrieden, bei dem * alles vor domain.com übereinstimmt, einschließlich other.levels.domain.com, aber auch die Typen *. *. Domain.com.

Um Ihre Frage zu beantworten: Es ist möglich und wird von Browsern unterstützt.

Nur zur Bestätigung akzeptiert FF und IE 8 KEINE Zertifikate in der Form, *.*.example.comobwohl es technisch möglich ist, sie zu erstellen.

Wenn ein Wildcard-SSL-Zertifikat für * .domain.com ausgestellt wird, können Sie Ihre unbegrenzte Anzahl von Subdomains über die Hauptdomain sichern.

Zum Beispiel:

• 1.domain.com
• 2.domain.com
• 3.domain.com
• sub * .domain.com

Wenn das Wildcard-SSL-Zertifikat auf * .1.domain.com ausgestellt ist, können Sie in diesem Fall alle Subdomains der zweiten Ebene sichern, die unter der .1.domain.com aufgeführt sind

Zum Beispiel:

• aaa1.domain.com
• bbb1.domain.com
• ccc1.domain.com
• 1 .domain.com

Wenn Sie eine begrenzte Anzahl von Sub-Domains und Second-Level-Domains sichern möchten, können Sie Multi-Domain-SSL auswählen, mit dem bis zu 100 Domain-Namen mit einem einzigen Zertifikat gesichert werden können.

Zum Beispiel:

• domain.com
• 1.domain.com
• aaa2.domain.com
• domain2.net
• domain3.org

Sie sollten Ihre tatsächlichen Anforderungen kennen, um ein SSL-Zertifikat zu wählen.

Dies könnte eine neue Testrunde mit aktuellen Browserversionen wert sein.

Mein persönlicher Schnelltest ergibt: Firefox 20.0.1 scheint dies immer noch nicht zu unterstützen. Es zeigt:

Dieses Zertifikat gilt nur für *. *. Mydomain.com

... beim Surfen zu https://svn.project.mydomain.com .

Internet Explorer 9.0:

Das Zertifikat dieser Website wurde für eine andere Adresse erstellt

Anmerkungen:

• Beide Aussagen wurden von mir aus dem Deutschen ins Englische übersetzt. Wahrscheinlich habe ich nicht die gleichen Phrasen verwendet, die in den englischen Browserversionen angezeigt werden.
• Ich habe ein selbstsigniertes Zertifikat verwendet. Was dazu führte, dass die Browser einen zusätzlichen Warnhinweis zeigten. Ich gehe davon aus, dass die obigen Anführungszeichen auch bei einem vertrauenswürdigen Zertifikatsaussteller angezeigt werden. Das zu überprüfen, war nicht im Rahmen meiner "Schnellüberprüfung".

Ich habe nur ein paar Nachforschungen angestellt, da ich die gleichen Anforderungen an die Sicherung von Sub-Sub-Domains habe, und bin auf eine Lösung von DigiCert gestoßen.

Diese Zertifikate sagen , es wird unterstützt yourdomain.com, *.yourdomain.com, *.*.yourdomain.comund so weiter.

Es ist derzeit recht teuer, aber die Hoffnung ist, dass andere Anbieter ähnliche Zertifikate anbieten und die Preise senken.

Alle Antworten hier sind veraltet oder nicht vollständig korrekt, wenn man den RFC 6125 von 2011 nicht berücksichtigt.

Gemäß RFC 6125 ist im am weitesten links stehenden Fragment nur ein einziger Platzhalter zulässig.

Gültig:

*.sub.domain.tld
*.domain.tld

Ungültig:

sub.*.domain.tld
*.*.domain.tld
domain.*
*.tld
sub.*.*

Ein Fragment, oder auch "label" genannt, ist eine geschlossene Komponente, zB: *.com(2 labels) stimmt nicht überein label.label.com(3 labels) - dies wurde bereits in RFC 2818 definiert.

Vor 2011 in RFC 2818 war die Einstellung nicht vollständig klar:

Die Spezifikationen für vorhandene Anwendungstechnologien sind hinsichtlich der zulässigen Position des Platzhalterzeichens nicht klar oder einheitlich.

Dies hat sich mit RFC 6125 ab 2011 (6.4.3) geändert:

Der Client DARF NICHT versuchen, eine angegebene ID zu finden, bei der das Platzhalterzeichen eine andere Bezeichnung als die am weitesten links stehende enthält (z. B. nicht mit dem Balken. *. Example.net übereinstimmen).

Obwohl ich mich nicht mit Ihrer Frage befasse, habe ich gerade vor Minuten etwas darüber gelesen:

https://www.instantssl.com/articles/can-you-create-a-wildcard-ssl-certificate-for-two-levels.php

Dies erklärt, dass Sie keinen doppelten Stern verwenden können

Bearbeiten

Fügen Sie einen Teil des Zitats hinzu, falls die Website ausfällt oder zu lange zum Lesen ist

Was nicht möglich ist, ist zu versuchen, beide Subdomains von mail.xyz.com und photos.xyz.com mit einem einzigen Platzhalter abzudecken. Die Zertifizierungsstelle oder Zertifizierungsstelle kann ein SSL-Zertifikat nur mit einem einzigen (*) bereitstellen. Sie konnten keine Zertifikatsignierungsanforderung generieren, die so aussah . .xyz.com, um zu versuchen, mehr als eine Subdomänengruppe der zweiten Ebene abzudecken.

Der Grund warum

Der Grund, warum es nicht möglich ist, ein SSL-Zertifikat mit "doppeltem Platzhalter" zu haben, besteht darin, dass der Platzhalter, der Stern, nur für ein Feld im Namen stehen kann, der an die Zertifizierungsstelle gesendet wurde. Schließlich muss die Zertifizierungsstelle alle Informationen überprüfen, und zu viele Variablen im Zertifikat würden die Sicherheit und das Vertrauen verringern, das das Zertifikat bietet.

Darüber hinaus, und dies ist auch für IT-Manager und Website-Eigentümer wichtig, kann die interne Sicherheit nicht so leicht gefährdet werden. Bedenken Sie, dass jede Art von Sicherheitsproblem, sobald ein SSL-Zertifikat vorhanden ist, sehr viel wahrscheinlicher durch eine interne Sicherheitsverletzung verursacht wird, bei der jemand mit Zugriff auf den privaten Schlüssel und das Zertifikat eine Subdomain-Website einrichten kann, die tatsächlich von abgedeckt wird die SSL.

Was Sie tun können, ist etwas wie * .domain.com und dann * .www.domain.com oder * .mail.domain.com. Ich habe *. *. Domain.com noch nie auf einer Produktionssite gesehen.

Sie können einen Platzhalter (* .domain.com) erhalten, benötigen jedoch auch * .www.domain.com als alternativen Eintrag für den Antragstellernamen, damit dies funktioniert. Die einzigen mir bekannten Unternehmen, die dies anbieten, sind ssl.com und digicert. Es mag andere geben, aber ich bin mir nicht sicher.