มีเหตุผลด้านความปลอดภัยที่จะไม่ใช้ใบรับรองตัวแทนนอกเหนือจากความสามารถในการจัดการและการใช้ประโยชน์หากใช้กับเซิร์ฟเวอร์หลายเครื่องหรือไม่?

ฉันมีที่ปรึกษาด้านความปลอดภัยที่บอกฉันว่าเราไม่สามารถใช้ Wildcard SSL certs ได้เพื่อเหตุผลด้านความปลอดภัย เพื่อความชัดเจนฉันชอบการใช้ certs เดี่ยวหรือหลายโดเมน certs (SAN) อย่างไรก็ตามเรามีความต้องการเซิร์ฟเวอร์ (plesk) ไปยังเซิร์ฟเวอร์ 100s ของโดเมนย่อย

จากการวิจัยของฉันเหตุผลหลักที่ทำให้คนไม่ใช้ไวลด์การ์ดคือสิ่งต่อไปนี้ซึ่งมาจาก verisign:

• ความปลอดภัย: หากหนึ่งเซิร์ฟเวอร์หรือโดเมนย่อยถูกบุกรุกโดเมนย่อยทั้งหมดอาจถูกบุกรุก
• การจัดการ: หากต้องการแทนที่ใบรับรองไวด์การ์ดโดเมนย่อยทั้งหมดจะต้องมีใบรับรองใหม่
• ความเข้ากันได้: ใบรับรองตัวแทนอาจไม่ทำงานอย่างราบรื่นกับ
  การกำหนดค่าเซิร์ฟเวอร์ - ไคลเอ็นต์รุ่นเก่า
• การป้องกัน: ใบรับรอง SSL VeriSign Wildcard ไม่ได้รับการคุ้มครองโดยการขยายการรับประกันของ NetSure

เนื่องจากคีย์ส่วนตัวใบรับรองและโดเมนย่อยทั้งหมดจะมีอยู่บนเซิร์ฟเวอร์เดียวกัน ... การแทนที่จะง่ายเหมือนการแทนที่หนึ่งใบรับรองนี้และมีผลต่อจำนวนผู้ใช้เท่ากัน ดังนั้นมีเหตุผลที่จะไม่ใช้ใบรับรองตัวแทนหรือไม่

'gotcha' อีกอันเดียวที่ฉันทราบคือไม่สามารถออกใบรับรองการตรวจสอบความถูกต้องแบบขยายได้ด้วย wildcardดังนั้นจึงไม่ใช่ตัวเลือกหากคุณต้องการใบรับรอง EV

ในแง่ของความปลอดภัยคุณต้องตะปูหัว - รหัสส่วนตัวเดียวปกป้องโดเมนทั้งหมดที่อยู่ภายใต้สัญลักษณ์แทน ตัวอย่างเช่นหากคุณมีใบรับรอง SAN หลายโดเมนที่ครอบคลุมwww.example.comและsomething.example.comถูกบุกรุกมีเพียงสองโดเมนเท่านั้นที่เสี่ยงต่อการถูกโจมตีด้วยคีย์ที่ถูกโจมตี

อย่างไรก็ตามหากระบบเดียวกันนั้นใช้*.example.comใบรับรองเพื่อจัดการกับปริมาณการใช้งาน SSL wwwและsomethingโดเมนย่อยและถูกบุกรุกดังนั้นทุกอย่างที่ครอบคลุมโดยไวด์การ์ดนั้นอาจมีความเสี่ยงแม้กระทั่งบริการที่ไม่ได้โฮสต์โดยตรงบนเซิร์ฟเวอร์webmail.example.comนั้น

ความปลอดภัย: หากหนึ่งเซิร์ฟเวอร์หรือโดเมนย่อยถูกบุกรุกโดเมนย่อยทั้งหมดอาจถูกบุกรุก

หากคุณกำลังใช้เว็บเซิร์ฟเวอร์เดียวสำหรับโฮสต์เสมือนหลายร้อยโฮสต์ของคุณคีย์ส่วนตัวทั้งหมดจะต้องสามารถอ่านได้โดยกระบวนการเซิร์ฟเวอร์เว็บนั้น หากบุคคลสามารถประนีประนอมระบบจนถึงจุดหนึ่งพวกเขาสามารถอ่านหนึ่งคีย์ / ใบรับรองจากนั้นพวกเขาอาจได้ประนีประนอมระบบไปยังจุดที่พวกเขาสามารถคว้าคีย์ส่วนตัว / certs ทั้งหมดที่ใช้โดยเว็บเซิร์ฟเวอร์นั้น

โดยทั่วไปคีย์จะถูกเก็บไว้ในระบบไฟล์พร้อมกับสิทธิ์พิเศษที่จะอนุญาตให้รูทเข้าถึงไฟล์เหล่านั้นเท่านั้น ดังนั้นหากระบบของคุณถูกรูทแล้วคุณอาจสูญเสียทุกอย่าง ไม่สำคัญเลยว่าคุณจะมีใบรับรองเดี่ยวหรือหลายใบ

การจัดการ: หากต้องการแทนที่ใบรับรองไวด์การ์ดโดเมนย่อยทั้งหมดจะต้องมีใบรับรองใหม่

หากคุณใช้ไวด์การ์ดสำหรับ * .example.org คุณจะต้องเปลี่ยนใบรับรองเพียงใบเดียว หากคุณมีใบรับรองสำหรับ one.example.org, two.example.org และ three.example.org คุณจะต้องแทนที่ 3 ใบรับรอง ดังนั้นใบรับรองไวด์การ์ดจึงทำงานน้อยลง ดังนั้นใช่ใบรับรองนั้นจะถูกเพิกถอนและแทนที่ แต่เนื่องจากคุณเพียงแค่ต้องแทนที่หนึ่งใบแทนที่จะเป็นร้อย ๆ อันมันน่าจะง่ายมาก

ความเข้ากันได้: ใบรับรองตัวแทนอาจไม่ทำงานอย่างราบรื่นกับการกำหนดค่าเซิร์ฟเวอร์ - ไคลเอ็นต์รุ่นเก่า

ระบบเหล่านั้นแทบจะต้องได้รับการอัพเดต พวกเขาเกือบจะมีช่องโหว่อื่น ๆ อีกมากมาย