使用免费的 Cloudflare SSL 证书是否安全,因为它与其他域共享?

信息安全 tls Web应用程序
2021-08-25 13:05:00

我有一个免费的 Cloudflare 帐户,我在其中管理我的域(即:mydomain.com),我使用免费的 SSL 证书(模式 Full SSL)来获得子域(由 Github Pages 托管的 blog.mydomain.com)上的 SSL。

域根目录不受 Cloudflare SSL 保护,但它有自己独立的 SSL 证书。

您可能知道 Cloudflare SSL 证书在多个域(通常是成人网站)之间共享,它是一种通配符类型。(所以它包含 *.mydomain.com、*.malicious.com、mydomain.com、malicious.com)

Web 应用程序托管在 mydomain.com 上,并且 app.mydomain.com 也使用自己的 SSL 证书进行保护。这些域是否会因为它们与malware.com 共享一个证书而处于危险之中,而malware.com 可能有权访问与mydomain.com 共享的同一个SSL 证书?

1个回答

托管在 mydomain.com 或 app.mydomain.com 上的 Web 应用程序(也使用其自己的 SSL 证书进行保护)可能会因恶意.com 的所有者而处于危险之中,因为他可以访问 mydomain 共享的相同 SSL 证书。 com?

恶意域的所有者无权访问 Cloudflare 提供的私钥证书,您也无权访问。免费帐户的证书归 Cloudflare 所有,只有 Cloudflare 可以访问(共享)证书的私钥。

您与潜在的恶意域共享相同的证书和/或 IP 地址也不是问题。浏览器内部的同源只关心域名,而不是证书或 IP 地址,因此无法从恶意域访问您的域。通常的 CSRF、XSS... 攻击当然仍然有效,但这些攻击与同一个证书无关,而是与特定 Web 应用程序的安全问题有关。