セキュリティ アドバイザーによると、セキュリティ上の理由からワイルドカード SSL 証明書は使用できないとのことです。はっきり言って、私は単一証明書または複数ドメイン証明書 (SAN) の使用を好みます。ただし、サーバー (plesk) で 100 個のサブドメインを処理する必要があります。
私の調査によると、ワイルドカードを使用しない主な理由は次の通りで、これは Verisign から来ているようです。
- セキュリティ: 1 つのサーバーまたはサブドメインが侵害されると、すべてのサブドメインが侵害される可能性があります。
- 管理: ワイルドカード証明書を取り消す必要がある場合、すべてのサブドメインに新しい証明書が必要になります。
- 互換性: ワイルドカード証明書は、
古いサーバー クライアント構成ではシームレスに動作しない可能性があります。 - 保護: VeriSign ワイルドカード SSL 証明書は NetSure 延長保証によって保護されません。
秘密鍵、証明書、サブドメインはすべて同じサーバー上に存在するため、置き換えは 1 つの証明書を置き換えるだけで済み、同じ数のユーザーに影響します。したがって、ワイルドカード証明書を使用しない別の理由があるのでしょうか?
答え1
私が知っている唯一の他の「落とし穴」は拡張認証証明書はワイルドカードでは発行できませんしたがって、EV 証明書を取得する場合、これは選択肢になりません。
セキュリティの点では、まさにその通りです。ワイルドカードの下にあるすべてのドメインは、単一の秘密キーで保護されます。つまり、たとえば、複数のドメインをカバーする SAN 証明書があり、それが侵害された場合www.example.com、something.example.com侵害されたキーによる攻撃を受けるリスクがあるのは、その 2 つのドメインだけです。
ただし、同じシステムがおよびサブドメイン*.example.comの SSL トラフィックを処理するために証明書を実行していて、それが侵害された場合、そのワイルドカードでカバーされるすべてのものが、そのサーバー上で直接ホストされていないサービス ( など) であっても、潜在的に危険にさらされます。wwwsomethingwebmail.example.com
答え2
セキュリティ: 1 つのサーバーまたはサブドメインが侵害されると、すべてのサブドメインが侵害される可能性があります。
数百の仮想ホストに単一の Web サーバーを使用している場合、すべての秘密キーがその Web サーバー プロセスで読み取り可能である必要があります。 1 つのキー/証明書を読み取ることができるほどシステムを侵害できる場合、その Web サーバーで使用されるすべての秘密キー/証明書を取得できるほどシステムを侵害している可能性があります。
キーは通常、ルート権限のみでアクセスできるファイルシステムに保存されます。したがって、システムがルート化されている場合は、おそらくすべてを失っていることになります。証明書が 1 つしかないか、複数あるかは、あまり問題ではありません。
管理: ワイルドカード証明書を取り消す必要がある場合、すべてのサブドメインに新しい証明書が必要になります。
*.example.org にワイルドカードを使用している場合は、1 つの証明書を置き換えるだけで済みます。one.example.org、two.example.org、three.example.org の証明書がある場合は、3 つの証明書を置き換える必要があります。したがって、ワイルドカード証明書の方が作業が少なくて済みます。したがって、その証明書は取り消されて置き換えられますが、数百ではなく 1 つを置き換えるだけで済むため、非常に簡単です。
互換性: ワイルドカード証明書は、古いサーバー クライアント構成ではシームレスに動作しない可能性があります。
これらのシステムは、ほぼ確実に更新する必要があります。他にも多くの脆弱性があることはほぼ確実です。