Có lý do bảo mật nào để không sử dụng chứng chỉ ký tự đại diện ngoài khả năng quản lý và khai thác nếu được sử dụng trên nhiều máy chủ không?

Tôi có một cố vấn bảo mật nói với tôi rằng chúng ta không thể sử dụng các chứng chỉ SSL ký tự đại diện vì lý do bảo mật. Để rõ ràng, tôi thích sử dụng certs đơn hoặc certs đa miền (SAN). Tuy nhiên, chúng tôi cần máy chủ (plesk) để máy chủ 100 tên miền phụ.

Dựa trên nghiên cứu của tôi, lý do chính khiến mọi người không sử dụng ký tự đại diện là lý do sau đây xuất phát từ phán quyết:

Bảo mật: Nếu một máy chủ hoặc tên miền phụ bị xâm phạm, tất cả các tên miền phụ có thể bị xâm phạm.
Quản lý: Nếu cần thu hồi chứng chỉ ký tự đại diện, tất cả các tên miền phụ sẽ cần chứng chỉ mới.
Khả năng tương thích: Chứng chỉ ký tự đại diện có thể không hoạt động trơn tru với
các cấu hình máy chủ-máy khách cũ hơn.
Bảo vệ: Chứng chỉ SSL VeriSign Wildcard không được bảo vệ bởi bảo hành mở rộng của NetSure.

Vì khóa riêng, cert và tên miền phụ sẽ tồn tại trên cùng một máy chủ ... việc thay thế sẽ đơn giản như việc thay thế một chứng chỉ này và ảnh hưởng đến cùng một lượng người dùng. Vì vậy, có một lý do khác để không sử dụng chứng chỉ ký tự đại diện?

security ssl https

— Cuộc đua xám
nguồn

Dòng này luôn có màu xám, nhưng nhiều hơn cho lợi ích của bạn, điều này có thể thực sự phù hợp với IT Security SE. Những kẻ đó cũng sẽ có một số thông tin tuyệt vời . Chỉ là một ý nghĩ.

— Univ426

Nhiều tên miền phụ (máy chủ lưu trữ trong cùng một tên miền) có thể chia sẻ cùng một địa chỉ IP khi ở dưới một tên miền ký tự đại diện không? Tôi chưa bao giờ kiểm tra điều đó trước đây, nhưng nếu họ có thể, đó dường như là một lời biện minh cho việc sử dụng chứng chỉ ký tự đại diện, để tránh phải sử dụng quá nhiều địa chỉ IP. Mặt khác, tôi thấy đó là tiết kiệm chi phí chứng chỉ để đổi lấy đĩa tiếp xúc (cao hơn nếu trải rộng trên nhiều máy).

— Skaperen

@Skaperen, vâng, với chứng chỉ ký tự đại diện, bạn có thể lưu trữ nhiều trang web khác nhau trên một IP.

— Zoredache

Hãy nhớ rằng địa chỉ IP không xuất hiện trong chứng chỉ SSL.

— Stefan Lasiewski

Cố vấn bảo mật đã đồng ý khi tôi trình bày trường hợp của mình và anh ta không thể đưa ra một lý do chính đáng để chúng tôi không tách biệt điều này với một máy chủ / dịch vụ duy nhất.

— Cuộc đua xám

Câu trả lời:

Điều duy nhất 'gotcha' mà tôi biết là chứng chỉ Xác thực mở rộng không thể được cấp bằng ký tự đại diện , vì vậy đó không phải là một tùy chọn nếu bạn đang dùng chứng chỉ EV.

Về mặt bảo mật, bạn đã đánh vào đầu - một khóa riêng duy nhất bảo vệ tất cả các tên miền nằm dưới ký tự đại diện. Vì vậy, ví dụ, nếu bạn có chứng chỉ SAN đa miền được bảo hiểm www.example.comvà something.example.combị xâm phạm, chỉ có hai miền đó có nguy cơ bị tấn công bằng khóa bị xâm phạm.

Tuy nhiên, nếu đó là cùng một hệ thống đã được thay vì chạy một *.example.comcert cho giao thông xử lý SSL cho wwwvà somethingtên miền phụ và bị tổn thương, sau đó tất cả mọi thứ bao phủ bởi ký tự đại diện đó là khả năng có nguy cơ, dịch vụ thậm chí không được lưu trữ trực tiếp trên máy chủ đó - chẳng hạn, webmail.example.com.

— Shane Madden
nguồn

Có phải sự thật là một số CA cung cấp cách tạo nhiều chứng chỉ cho cùng một chứng chỉ ký tự đại diện không? Nói cách khác, họ cho phép nhiều cặp khóa riêng / chung khác nhau cho chứng chỉ ký tự đại diện của một tên miền sao cho một khóa riêng bị xâm phạm không gây ra bất kỳ vấn đề nào cho các khóa khác.

— David Sanders

Bảo mật: Nếu một máy chủ hoặc tên miền phụ bị xâm phạm, tất cả các tên miền phụ có thể bị xâm phạm.

Nếu bạn đang sử dụng một máy chủ web cho hàng trăm máy chủ ảo thì tất cả các khóa riêng sẽ cần phải được đọc bởi quy trình máy chủ web đó. Nếu một người có thể thỏa hiệp hệ thống đến một điểm là họ có thể đọc một khóa / chứng chỉ, thì có lẽ họ đã thỏa hiệp hệ thống đến mức họ có thể lấy tất cả các khóa / khóa riêng được sử dụng bởi máy chủ web đó.

Các khóa thường được lưu trữ trên hệ thống tập tin với các đặc quyền sẽ chỉ cho phép root truy cập chúng. Vì vậy, nếu hệ thống của bạn đã được root, thì có lẽ bạn đã mất tất cả. Không thực sự quan trọng nếu bạn có một chứng chỉ duy nhất hoặc nhiều.

Quản lý: Nếu cần thu hồi chứng chỉ ký tự đại diện, tất cả các tên miền phụ sẽ cần chứng chỉ mới.

Nếu bạn đang sử dụng ký tự đại diện cho * .example.org thì bạn chỉ cần thay thế một chứng chỉ duy nhất. Nếu bạn có chứng chỉ cho one.example.org, Two.example.org và ba.example.org, thì bạn phải thay thế 3 chứng chỉ. Vì vậy, chứng chỉ ký tự đại diện là công việc ít hơn. Vì vậy, có, chứng chỉ đó sẽ bị thu hồi và thay thế, nhưng vì bạn chỉ phải thay thế một thay vì hàng trăm, nên nó rất dễ dàng.

Khả năng tương thích: Chứng chỉ ký tự đại diện có thể không hoạt động trơn tru với các cấu hình máy chủ-máy khách cũ hơn.

Những hệ thống gần như chắc chắn cần phải được cập nhật. Họ gần như chắc chắn có nhiều lỗ hổng khác.

— Zoredache
nguồn