Existe algum motivo de segurança para não usar um certificado curinga além da capacidade de gerenciamento e exploração se usado em vários servidores?

Question

Eu tenho um consultor de segurança que está me dizendo que não podemos usar certificados SSL curinga por motivos de segurança. Para ser claro, prefiro usar certs simples ou certs de domínio múltiplo (SAN). No entanto, precisamos do servidor (plesk) para o servidor 100s de subdomínios.

Com base em minha pesquisa, a principal razão pela qual o site de pessoas para não usar curinga é o seguinte, que parece vir do verisign:

• Segurança: se um servidor ou subdomínio for comprometido, todos os subdomínios pode estar comprometido.
• Gerenciamento: se o certificado curinga precisar ser revogado, todos os subdomínios precisarão de um novo certificado.
• Compatibilidade: Certificados curinga podem não funcionar perfeitamente com o
  configurações de cliente-servidor mais antigas.
• Proteção: Certificados SSL Wildcard da VeriSign não são protegidos pela garantia estendida da NetSure.

Como a chave privada, o certificado e o subdomínio estarão todos no mesmo servidor ... a substituição seria tão simples quanto substituir este certificado e afetar a mesma quantidade de usuários. Portanto, há outro motivo para não usar um certificado curinga?

    

Answer 1

A única outra 'pegadinha' que eu conheço é que , portanto, não é uma opção se você estiver usando um certificado EV.

Em termos de segurança, você acertou em cheio - uma única chave privada protege todos os domínios que estão sob o curinga. Assim, por exemplo, se você tivesse um certificado de SAN de vários domínios que cobrisse www.example.com e something.example.com se comprometesse, somente esses dois domínios estarão em risco de ataque com a chave comprometida.

No entanto, se esse mesmo sistema estivesse executando um *.example.com cert para lidar com o tráfego SSL para www e something subdomínios e estivesse comprometido, tudo o que é coberto por esse curinga está potencialmente em risco, mesmo serviços não hospedados diretamente nesse servidor - digamos, webmail.example.com .

    

Answer 2

Security: If one server or sub-domain is compromised, all sub-domains may be compromised.

Se você estiver usando um único servidor da Web para centenas de hosts virtuais, todas as chaves privadas precisarão ser lidas por esse processo do servidor da Web. Se uma pessoa puder comprometer o sistema até um ponto em que possa ler uma chave / certificado, provavelmente já comprometeu o sistema até o ponto em que pode pegar todas as chaves / certificados privados usados por esse servidor da Web.

As chaves geralmente são armazenadas no sistema de arquivos com privilégios que permitirão que o root só os acesse. Então, se o seu sistema está enraizado, provavelmente você perdeu tudo. Realmente não importa se você tem um único certificado ou muitos.

Management: If the wildcard certificate needs to be revoked, all sub-domains will need a new certificate.

Se você estiver usando um curinga para * .example.org, precisará substituir apenas um único certificado. Se você tiver um certificado para one.example.org, two.example.org e three.example.org, será necessário substituir 3 certificados. Então, o certificado curinga é menos trabalho. Então, sim, esse certificado seria revogado e substituído, mas como você só precisa substituir um em vez de centenas, isso deve ser muito fácil.

Compatibility: Wildcard certificates may not work seamlessly with older server-client configurations.

Esse sistema quase certamente precisa ser atualizado. Eles quase certamente têm muitas outras vulnerabilidades.