ssl wildcard sur sub-sous-domaine

Question

Nous avons le certificat ssl wildcard pour *. domaine.com, et ont un site Web avec sub1.sub2.domain.com

Safari 4.0.4 sur MacOsx apparaît une erreur de certificat (vraisemblablement en raison de l’interprétation de génériques), tandis que safari 4 sur windows ne fonctionne pas.

aussi comportement ie8 est mélangé au mieux, certains ie8 ne s’affichent pas l’erreur de certificat et certains ne le font pas.

Ce qui provoque ce comportement étrange sur Safari et IE ?

Answer 1

Un certificat SSL wildcard pour *.example.net correspondra sub.example.net mais pas sub.sub.example.net.

À partir de la RFC 2818:

La comparaison est effectuée en utilisant les règles de correspondance indiquée par RFC2459. Si plus d'une identité d'un type donné est présent dans le certificat (par exemple, plus d'un dNSName nom, un match de tout un de l'ensemble est considéré comme acceptable.) Les noms peuvent contenir des caractères génériques le caractère * qui est considéré comme un match tout seul nom de domaine composant ou composant de ce fragment. E. g., *.a.com correspond foo.a.commais pas bar.foo.a.com. f*.com correspond foo.com mais pas bar.com.

Answer 2

Si vous avez besoin d'un certificat générique qui contient *.domain.com sites et aussi de travailler avec sub1.sub2.domain.com ou dans un autre domaine, comme *.domain2.com, vous pouvez résoudre qu'avec un seul certificat wildcard avec ce qui est appelé d'un autre nom de l'objet (SAN) extension pour chacun des autres sous-sous-domaines. Un SAN cert n'est pas seulement pour plusieurs des noms d'hôte spécifiques, il peut être créé pour des caractères génériques des entrées.

Par exemple, *.domain.com, sub1.sub2.domain.com et *.domain2.com aurait un Nom Commun *.domain.com ensuite, vous fixez un autre nom de l'objet à la fois *.domain2.com et *.sub2.domain.com. Il pourrait dépendre sur le Certificat de l'Autorité de la façon dont ils vous ferait payer (ou pas) pour le certificat, mais il ya certains là-bas où cette offre est disponible. Aussi, le SAN de soutien est assez répandue dans le navigateur web de l'espace. Le meilleur du monde réel exemple de cette utilisation, il Google SSL cert. Aller ouvrir google et afficher son certificat SSL, vous verrez que cela fonctionne pour *.google.com, *.youtube.com, *.gmail.com et un tas d'autres où ils sont répertoriés comme autres noms de l'objet.

Answer 3

Le caractère générique s’applique uniquement à la première partie (de gauche à droite) du domaine vous. Donc vous aurez besoin d’un certificat pour *. sub2.domain.com

Si vous vouliez dire que vous avez sub1.domain.com et sub2.domain.com, alors cela devrait fonctionner.