为什么这个证书对这么多域有效?

信息安全 证书
2021-09-03 03:58:40

如果您查看https://i.imgur.com/的(无效)证书,它说仅对以下名称有效:

该证书仅对以下名称有效,然后是大约 100 个名称的列表。

拥有多个域的一个证书不是很危险吗?

4个回答

似乎该证书适用于许多域,因为它是 CDN 的一部分。CDN 或内容交付网络交付始终相同(或“静态”)的文件。网站的标志,网站的一些风格规则,那些东西。页面本身可能会发生变化,例如根据您是否登录,但图像(等)通常不会改变。

使用这种 CDN 是因为服务器越近,页面加载速度就越快。然而,并不是每个人都有资源在世界各地安装数十台服务器,因此 Cloudflare 和 Akamai 等公司提供他们的 CDN 空间(以及可以处理大量流量的大型网络),就像正在出售托管一样。

为了安全地提供所有数据(并避免混合内容错误),CDN 服务器使用的证书必须对其托管文件的所有域都有效。通过窃取一个私钥来欺骗这么多域是有风险的(您只需要访问数百个服务器中的一个),但它似乎超过了好处。似乎它也主要是子域(或者可能只是子域,我没有检查过)。

该证书属于 EdgeCast,一个CDN

他们的工作是代表其他公司提供内容。执行此操作的服务器通常处理成百上千个不同域的结果,并且它们为此目的而在世界各地拥有数千台服务器。这些服务器上托管的域太多,无法为每个域提供自己的 IP,因此如果他们想通过 SSL 提供 CDN 文件,他们必须共享一个 SSL 证书。

通过 SSL 提供 CDN 托管文件的边际收益很小,但如果您打算将这些文件包含在 SSL 交付的页面中,这一点尤其重要。请记住,如果您的页面是 SSL,那么所有图像、脚本和其他资源也必须通过 SSL 交付,无论它们来自哪个域。

请注意,所有 SSL 域都不是该站点的“主”域。相反,它们的名称类似于images.goldstar.comand content.truste.com这些公司没有与所有邻居共享他们自己的私有SSL 证书;此证书不适用于goldstar.comtruste.com相反,他们将单一用途子域的控制权移交给 edgecast,并允许 edgecast 将所有这些特定于 edgecast 的子域包含在一个专门用于此目的的证书中。

注意
您信任谁拥有您网站的密钥?当然,Edgecast。是的,其他公司也在同一个证书上,但私钥不受您或其中任何人的控制;它由 EdgeCast 控制。您相信 EdgeCast 的基础架构不允许任何其他公司的内容在您的域上可见。这与您始终隐含授予您允许代表您提供内容的任何公司的信任程度相同。证书并没有真正改变这种关系。

为多个域拥有一个证书会产生单点故障。但是,如果攻击者从哪里获取私钥,那么您可能会遇到更大的问题。

它们被称为 UCC/SAN 证书。当您想要保护多个域时,您可以购买 UCC 证书。与购买常规 SSL 证书相比,它非常划算。许多证书提供者使用 2048 位来生成密钥,所以我认为在安全性方面不会有任何妥协。

这是比较不同证书的维基百科的链接。http://en.wikipedia.org/wiki/Comparison_of_SSL_certificates_for_web_servers

希望有帮助...