Certificados SSL - eles podem ser usados em mais de um servidor

Question

Eu tenho muitos sites espalhados em diferentes servidores IIS, mas todos eles podem ser acessados via sitename .example.co.uk. ou seja, site1.example.co.uk

Por falar nisso, este é apenas um exemplo para que eu possa me familiarizar com os certificados SSL, portanto todos se auto-assinam através do seguinte processo

1. Crie minha própria CA
2. Gerar chave e csr
3. , em seguida, gere o certificado assinado

link

O certificado resultante da etapa 3 é atribuído a * .example.co.uk. Isso pode ser usado em vários servidores ou eu criei um novo certificado + chave para cada servidor, apesar deles corresponderem ao domínio no certificado?

    

Answer 1

O certificado é uma chave pública assinada por terceiros e pode ser usado por qualquer pessoa com a chave privada correspondente. Assim, desde que você atribua a cada servidor a chave privada correspondente, ele poderá usar o certificado.

Mas se você está fazendo sua própria CA, por que se incomodar? Você pode cunhar certificados para cada servidor e eles não serão menos (nem mais) confiáveis do que o certificado assinado por uma CA privada que você está propondo usar em todos os lugares, e você terá menos problemas em manter um único certificado privado. chave segura através de distribuição e uso em muitos terminais.

    

Answer 2

Não há motivo técnico pelo qual você não possa usar um certificado SSL curinga para * .example.co.uk em quantos servidores desejar, cujos nomes de domínio correspondam ao curinga. Mas alguns emissores de certificados têm termos comerciais & condições que limitam o número de servidores nos quais o certificado pode ser usado. Não é um limite técnico, e o certificado ainda funcionará em quantos servidores você quiser; você só estará violando seu contrato com eles se usá-los em mais servidores do que você concordou. É claro que isso não se aplica a seus certificados auto-assinados que você está usando para testá-lo, mas quando você consegue obter um certificado assinado por uma CA confiável.

    

Answer 3

Não há nada que o proíba tecnicamente de instalar um determinado certificado em várias máquinas. No entanto, se você comprou o certificado de uma CA comercial, o contrato de licença provavelmente exigirá que você pague por cada servidor, mesmo se o mesmo certificado estiver instalado.

Acredito que alguns padrões corporativos / de segurança desestimulam os certificados wildcard de alto nível (por isso, não * .example.co.uk, mas talvez * .somespecificapp.example.co.uk), para minimizar os danos se o certificado vazar.

Um possível incentivo para instalar a mesma chave cert + em todas as máquinas é usar a marcação de certificados ( link )