Tại sao trình duyệt của tôi nghĩ rằng https://1.1.1.1 là an toàn?

Khi tôi truy cập https://1.1.1.1 , mọi trình duyệt web tôi sử dụng đều coi URL là an toàn.

Đây là những gì Google Chrome thể hiện:

Thông thường, khi tôi cố gắng truy cập trang web HTTPS qua địa chỉ IP của nó, tôi nhận được cảnh báo bảo mật như sau:

Theo hiểu biết của tôi, chứng chỉ trang web cần khớp với tên miền, nhưng Trình xem chứng chỉ Google Chrome không hiển thị 1.1.1.1:

Bài viết về kiến ​​thức của GoDaddy "Tôi có thể yêu cầu chứng chỉ cho tên mạng nội bộ hoặc địa chỉ IP không?" nói:

Không - chúng tôi không còn chấp nhận yêu cầu chứng chỉ cho tên mạng nội bộ hoặc địa chỉ IP. Đây là một tiêu chuẩn toàn ngành , không dành riêng cho GoDaddy.

^{_{( nhấn mạnh của tôi)}}

Và cũng:

Do đó, có hiệu lực từ ngày 1 tháng 10 năm 2016 , Cơ quan Chứng nhận (CA) phải thu hồi chứng chỉ SSL sử dụng tên mạng nội bộ hoặc địa chỉ IP .

^{_{( nhấn mạnh của tôi)}}

Và:

Thay vì bảo mật địa chỉ IP và tên mạng nội bộ, bạn nên cấu hình lại các máy chủ để sử dụng Tên miền đủ điều kiện (FQDN), chẳng hạn như www.coolexample.com .

^{_{( nhấn mạnh của tôi)}}

Đó là sau ngày thu hồi bắt buộc ngày 01 tháng 10 năm 2016, nhưng giấy chứng nhận 1.1.1.1đã được cấp vào ngày 29 tháng 3 năm 2018 (hiển thị trong ảnh chụp màn hình ở trên).

Làm thế nào có thể tất cả các trình duyệt chính nghĩ rằng https://1.1.1.1 là một trang web HTTPS đáng tin cậy?

Tiếng Anh mơ hồ . Bạn đã phân tích cú pháp như thế này:

(intranet names) or (IP addresses)

tức là cấm sử dụng hoàn toàn địa chỉ IP số. Ý nghĩa phù hợp với những gì bạn đang thấy là:

intranet (names or IP addresses)

tức là cấm các chứng chỉ cho các phạm vi IP riêng như 10.0.0.0/8, 172.16.0.0/12 và 192.168.0.0/16, cũng như đối với các tên riêng không hiển thị trên DNS công cộng.

Chứng chỉ cho các địa chỉ IP có thể định tuyến công khai vẫn được cho phép, thường không được khuyến nghị cho hầu hết mọi người, đặc biệt là những người không sở hữu IP tĩnh.

Tuyên bố này là lời khuyên, không phải là khiếu nại mà bạn không thể bảo mật địa chỉ IP (công khai).

Thay vì bảo mật địa chỉ IP và tên mạng nội bộ, bạn nên cấu hình lại máy chủ để sử dụng Tên miền đủ điều kiện (FQDN), chẳng hạn như www.coolexample.com

Có thể ai đó tại GoDaddy đã hiểu sai từ ngữ, nhưng nhiều khả năng họ muốn giữ cho lời khuyên của họ đơn giản và muốn đề xuất sử dụng tên DNS công khai trong chứng chỉ.

Hầu hết mọi người không sử dụng IP tĩnh ổn định cho dịch vụ của họ. Cung cấp dịch vụ DNS là một trường hợp thực sự cần thiết để có một IP nổi tiếng ổn định thay vì chỉ một cái tên. Đối với bất kỳ ai khác, việc đặt IP hiện tại của bạn vào chứng chỉ SSL sẽ hạn chế các tùy chọn trong tương lai của bạn, vì bạn không thể để người khác bắt đầu sử dụng IP đó. Họ có thể mạo danh trang web của bạn.

Cloudflare.com tự kiểm soát địa chỉ IP 1.1.1.1 và không có kế hoạch làm bất cứ điều gì khác biệt với nó trong tương lai gần, do đó, thật hợp lý khi họ đặt IP của họ vào chứng chỉ của họ. Đặc biệt là nhà cung cấp DNS , nhiều khả năng khách hàng HTTPS sẽ truy cập URL của họ theo số hơn bất kỳ trang web nào khác.

Tài liệu GoDaddy bị nhầm. Không phải sự thật là Cơ quan Chứng nhận (CA) phải thu hồi chứng chỉ cho tất cả các địa chỉ IP mà chỉ là địa chỉ IP dành riêng .

^{_{Nguồn: https://cabforum.org/iternal-names/}}

CA cho https://1.1.1.1 là DigiCert , khi viết câu trả lời này, cho phép mua chứng chỉ trang web cho các địa chỉ IP công cộng.

DigiCert có một bài viết về điều này được gọi là Cấp phát chứng chỉ SSL tên máy chủ nội bộ sau năm 2015 :

Nếu bạn là quản trị viên máy chủ sử dụng tên nội bộ, bạn cần phải cấu hình lại các máy chủ đó để sử dụng tên công khai hoặc chuyển sang chứng chỉ do CA nội bộ cấp trước ngày giới hạn 2015. Tất cả các kết nối nội bộ yêu cầu chứng chỉ tin cậy công khai phải được thực hiện thông qua các tên công khai và có thể kiểm chứng (không quan trọng nếu các dịch vụ đó có thể truy cập công khai).

^{_{( nhấn mạnh của tôi)}}

Cloudflare chỉ cần có một chứng chỉ cho địa chỉ IP của họ 1.1.1.1từ CA đáng tin cậy đó.

Phân tích chứng chỉ cho https://1.1.1.1 cho thấy chứng chỉ sử dụng Tên thay thế chủ đề (SAN) để bao gồm một số địa chỉ IP và tên miền thông thường:

deltik@node51 [~]$ openssl s_client -showcerts -connect 1.1.1.1:443 < /dev/null 2>&1 | openssl x509 -noout -text | grep -A1 'Subject Alternative Name:'
            X509v3 Subject Alternative Name: 
                DNS:*.cloudflare-dns.com, IP Address:1.1.1.1, IP Address:1.0.0.1, DNS:cloudflare-dns.com, IP Address:2606:4700:4700:0:0:0:0:1111, IP Address:2606:4700:4700:0:0:0:0:1001

Thông tin này cũng có trong Trình xem chứng chỉ Google Chrome trong tab "Chi tiết":

Chứng chỉ này có giá trị cho tất cả các tên miền được liệt kê (bao gồm cả ký tự đại diện *) và địa chỉ IP.

Có vẻ như Tên chứng chỉ Alt bao gồm địa chỉ IP:

Not Critical
DNS Name: *.cloudflare-dns.com
IP Address: 1.1.1.1
IP Address: 1.0.0.1
DNS Name: cloudflare-dns.com
IP Address: 2606:4700:4700::1111
IP Address: 2606:4700:4700::1001

Theo truyền thống, tôi đoán bạn sẽ chỉ đặt Tên DNS ở đây, nhưng Cloudflare cũng đã đặt Địa chỉ IP của họ.

https://1.0.0.1/ cũng được các trình duyệt coi là an toàn.