Esiste un motivo di sicurezza per non utilizzare un certificato jolly diverso dalla gestibilità e dallo sfruttamento se utilizzato su più server?

Ho un consulente per la sicurezza che mi sta dicendo che non possiamo usare certificati SSL con caratteri jolly per motivi di sicurezza. Per essere chiari, preferisco di gran lunga usare single certs o multi-domain certs (SAN). Tuttavia, è necessario che il server (plesk) sia al server di centinaia di sottodomini.

Sulla base della mia ricerca, il motivo principale per cui le persone non utilizzano i caratteri jolly è il seguente che sembra provenire da Verisign:

Sicurezza: se un server o un sottodominio è compromesso, tutti i sottodomini potrebbero essere compromessi.
Gestione: se il certificato con caratteri jolly deve essere revocato, tutti i sottodomini avranno bisogno di un nuovo certificato.
Compatibilità: i certificati jolly potrebbero non funzionare senza problemi con
le configurazioni server-client precedenti.
Protezione: i certificati SSL Wildcard VeriSign non sono protetti dalla garanzia estesa NetSure.

Dal momento che la chiave privata, il certificato e il sottodominio esisteranno tutti sullo stesso server ... la sostituzione sarebbe semplice come sostituire questo certificato ed effettuare la stessa quantità di utenti. Quindi c'è un altro motivo per non usare un certificato jolly?

security ssl https

— Razza grigia
fonte

La linea è sempre grigia, ma più a tuo vantaggio, questo potrebbe adattarsi molto bene all'IT Security SE. Quei ragazzi avranno anche delle ottime informazioni. Solo un pensiero.

— Univ426,

Più sottodomini (host nello stesso dominio) possono condividere lo stesso indirizzo IP quando si trovano in un dominio jolly? Non l'ho mai verificato prima, ma se possibile, sembrerebbe una giustificazione per usare un certificato jolly, per evitare di dover usare così tanti indirizzi IP. Altrimenti lo vedo come risparmio sui costi del certificato in cambio del disco di esposizione (maggiore se distribuito su molte macchine).

— Skaperen,

@Skaperen, sì, con un certificato jolly, puoi ospitare molti siti diversi su un singolo IP.

— Zoredache,

Ricorda che l'indirizzo IP non appare nel certificato SSL.

— Stefan Lasiewski,

Il consulente per la sicurezza ha ceduto quando ho presentato il mio caso e non ha potuto trovare una buona ragione per non farlo da quando abbiamo isolato questo in un singolo server / servizio.

— Grey Race,

Risposte:

L'unico altro 'gotcha' di cui sono a conoscenza è che i certificati di convalida estesa non possono essere emessi con un carattere jolly , quindi non è un'opzione se stai per ottenere un certificato EV.

In termini di sicurezza, hai colto nel segno: una singola chiave privata protegge tutti i domini che si trovano sotto il carattere jolly. Quindi, ad esempio, se si disponeva di un certificato SAN multidominio che copriva www.example.come something.example.comveniva compromesso, solo quei due domini sono a rischio di attacco con la chiave compromessa.

Tuttavia, se questo stesso sistema sono stati invece in esecuzione un *.example.comcert al traffico SSL per la maniglia wwwe somethingsottodomini e sono stati compromessi, allora tutto ricoperto da quel jolly è potenzialmente a rischio, anche servizi non ospitati direttamente su quel server - ad esempio, webmail.example.com.

— Shane Madden
fonte

Non è vero che alcune CA offrono un modo per creare molti certificati per lo stesso certificato jolly? In altre parole, consentono molte coppie di chiavi private / pubbliche diverse per il certificato jolly di un dominio in modo tale che una chiave privata compromessa non causi problemi agli altri.

— David Sanders,

Sicurezza: se un server o un sottodominio è compromesso, tutti i sottodomini potrebbero essere compromessi.

Se si utilizza un singolo server Web per le centinaia di host virtuali, tutte le chiavi private devono essere leggibili da quel processo del server Web. Se una persona può compromettere il sistema fino a un certo punto in cui è in grado di leggere una chiave / certificato, allora probabilmente hanno già compromesso il sistema a un punto in cui possono prendere tutte le chiavi private / certificati utilizzate da quel server Web.

Le chiavi sono generalmente memorizzate nel filesystem con privilegi che permetteranno solo a root di accedervi. Quindi, se il tuo sistema è rootato, probabilmente hai perso tutto. Non importa se hai un singolo certificato o molti.

Gestione: se il certificato con caratteri jolly deve essere revocato, tutti i sottodomini avranno bisogno di un nuovo certificato.

Se si utilizza un carattere jolly per * .example.org, è necessario sostituire solo un singolo certificato. Se hai un certificato per one.example.org, two.example.org e three.example.org, devi sostituire 3 certificati. Quindi il certificato con caratteri jolly richiede meno lavoro. Quindi sì, quel certificato verrebbe revocato e sostituito, ma dato che devi solo sostituirne uno anziché centinaia, dovrebbe essere molto semplice.

Compatibilità: i certificati jolly potrebbero non funzionare senza problemi con le configurazioni server-client precedenti.

Quel sistema deve quasi certamente essere aggiornato. Quasi certamente hanno molte altre vulnerabilità.

— Zoredache
fonte