Зачем нужен WildCard сертификат?

Что такое wildcard сертификат

Ранее я вам рассказывал, что из себя представляют SSL сертификаты и там я описывал принцип работы wildcard, давайте я напомню его определение. Wildcard (Подстановочный сертификат) – это цифровой сертификат, который применяется к домену и всем его поддоменам.

Обозначение подстановочного знака состоит из звездочки и точки (*.) перед доменным именем. Сертификаты Secure Sockets Layer ( SSL ) часто используют подстановочные знаки для расширения шифрования SSL для поддоменов. Обычный SSL-сертификат работает на одном домене, например root.my-sertif.ru.

Распространение одного сертификата на субдомены вместо покупки отдельных сертификатов может сэкономить деньги и упростить администрирование. Недостатком, однако, является то, что если сертификат должен быть отозван на одном поддомене, он должен быть отозван и на всех остальных.

Например, если поддомен, такой как payment.my-sertif.ru, скомпрометирован, то это касается и поддоменов mail и vpn . Приобретение отдельных сертификатов может стоить немного больше и потребовать больше администрирования, но это также гарантирует, что каждый поддомен индивидуально защищен.

Очень часто я встречал использование Wildcard сертификата на разных сайтах, развернутых на IIS, в системах внутреннего документооборота.

Вот что можно защитить:

Мы будем рады ответить на любой Ваш вопрос, дать консультацию и совет. Приятного всем дня.

Переезд на wildcard

Напомню, что автор использует DNS-сервер NSD в среде FreeBSD.

root@my:~ # uname -v
FreeBSD 11.1-RELEASE-p8 #0: Tue Mar 13 17:07:05 UTC 2021     root@amd64-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC
root@my:~ # nsd -v
NSD version 4.1.17
Written by NLnet Labs.

Copyright (C) 2001-2006 NLnet Labs.  This is free software.
There is NO warranty; not even for MERCHANTABILITY or FITNESS
FOR A PARTICULAR PURPOSE.

Сложный случай

Как уже упоминалось выше, автор использует довольно продвинутые способы применения сертификатов Let’s Encrypt, генерируя на их базе цифровые отпечатки для HPKP и DANE и обеспечивалась непрерывность функционирования систем при обновлении сертификатов.

Для продолжения гладкой работы уже отстроенной системы после получения нового TLS-сертификата следует лишь запустить
этот скрипт для обновления необходимых данных.

root@my:/usr/local/etc/nsd # cd ../letsencrypt
root@my:/usr/local/etc/letsencrypt # ./lerenew.sh
writing RSA key
writing RSA key
2021032912
Kkostikov.co. 013 53618 Kkostikov.co. 013 4704711
ok
Stopping h2o.
Waiting for PIDS: 98902.
Starting h2o.
start_server (pid:18357) starting now...
Stopping dovecot.
Waiting for PIDS: 68010.
Starting dovecot.
Stopping exim.
Starting exim.

Далее никаких измнений не потребуется и процесс обновления будет происходить в штатном режиме.

PROFIT!

Статья была полезной? Тогда прошу не стесняться и поддерживать деньгами через PayPal, Яндекс.Деньги. или через замечательную систему Patreon.

Moving on let’s encrypt wildcard certificates

Let’s encrypt за относительно короткий промежуток времени стал самым популярным в мире центром сертификации (CA) по выпуску TLS-сертификатов. Причиной тому является, во-первых, бесплатность получения сертификата для любого желающего и, во-вторых, удобный механизм его выпуска и продления, когда благодаря множеству способов и программных средств данный процесс можно легко автоматизировать.

Сегодня Let’s Encrypt занимает свыше 2/3 общего объёма видимых в Интернет TLS-сертификатов и доля его растёт.

Однако, до недавнего времени эта динамика несколько сдерживалась отсутствием возможности получить т.н. wildcard-сертификат, то есть такой, который покрывает все поддомены в рамках существующего домена более высокого уровня. Несмотря на то, что стандартный механизм Let’s Encrypt позволяет иметь в одном сертификате до 200 различных доменов через расширени TLS SNI, это далеко не всегда удобно, ведь для каждого нового домена приходилось включать его в состав уже имеющегося сертификата или выпускать новый.

Ситуация изменилась в марте 2021 года, когда был официально запущен новый протокол и API к нему ACMEv2, одним из ключевых новшеств которого стало появление возможности выпуска wildcard-сертификатов.

San ssl-сертификаты

Единые сертификаты связи (UCC), Мульт-доменные сертификаты, SAN SSL-сертификаты, как их только не называют, но всех их объединяет одно свойство, способность защищать множество доменов, субдоменов, локальных доменов (.local), сервера (server name: ‘myserver01’), они идеальны для продуктов Microsoft Exchange. Данные сертификаты работают как с внешними, так и внутренними доменными именами.

Sgc ssl-сертификаты

Сегодня, о данных сертификатах уже можно забыть, хотя их продолжают использовать, т.к. они принудительно увеличивают уровень шифрования для старых браузеров с 40-бит до полноценных 256-бит. Ваш сайт или онлайн система будет защищена и получит высочайшее доверие от всех Ваших пользователей. Лучшие сайты используют 128/256-битное шифрование.

Ssl c поддержкой субдоменов (wildcard)

Очень удобный сертификат, когда речь идёт о защите большого кол-во субдоменов в рамках одного домена. Он может защитить любое кол-во субдоменов, на неограниченном кол-ве серверов. Больше не нужно устанавливать 5-10-20 разных сертификатов, иметь столько же IP адресов (если не использовать технологию SNI), всё в рамках одного продукта. Часто их так же используют для обеспечения безопасности хостинг панелей, таких как Plesk, cPanel.

Ssl-cертификаты для по (codesigning ssl)

Этот сертификат Вам понадобится, когда ваши пользователи получают предупреждения и ошибки при скачивании программного кода с ваших ресурсов.Идеальный продукт для разработчиков программного обеспечения (ПО), он используется для защиты программных продуктов распространяемых в сети. Ваши пользователи будут уверены что код скачанный на вашем сайте действительно принадлежит Вам, а не является умышленно испорченным или изменённым

Ssl-сертификат с проверкой домена (domain validation)

SSL-сертификаты с проверкой домена, или как их некоторые называют, сертификаты начального уровня, являются самыми распространёнными в мире, и это не удивительно, ведь скорость выдачи таких сертификатов варьируется от 2-10 минут, зависит от бренда. Что бы получить такой сертификат не требуются какие либо документы, весь процесс предельно прост, Вам нужно подтвердить владение доменом, а для этого существует 3 способа, один основной и два альтернативных.

SSL-сертификаты начального уровня с проверкой домена один из самых быстро-выдаваемых типов сертификатов, т.к. не требуют каких либо документов. Мы рекомендуем данные сертификаты для небольших сайтов и маленьких проектов, когда у Вас нет необходимости в большом доверии со стороны клиентов и посетителей сайта, проекта.

Ssl-сертификаты с проверкой компании (business validation)

Данные сертификаты актуальны для тех, кто думает о доверии к своим продуктам, компании и сервисам, так как центр сертификации проводит более тщательную проверку Вашей компании. Вас попросят выслать документы компании, пройти процесс «отзвона» на корпоративный телефон и некоторые другие процессы. Однако результат использования на порядок выше, чем в случае с начальными сертификатами, т.к. на Вашем сайте будет динамическое Лого с информацией о Вашей компании. Люди это ценят и легче расстаются с деньгами оплачиваю услуги и товары на вашем сайте.

Wildcard ssl сертификт – защита поддоменов

Как выпустить wildcard ssl сертификат в active directory

И так у вас есть развернутый домен Active Directory, внутри домена есть инфраструктура по выпуску сертификатов, через Windows роль “Центр Сертификации”. Поступила задача выпустить для вашего домена Wildcard SSL сертификат, чтобы использовать его на разных проектах предприятия. Что вы делаете, открываете окно “Выполнить” и пишите там слово mmc.

У вас откроется окно для добавления оснасток mmc. Нажмите меню “Файл – Добавить или удалить оснастку”.

Находим в левом разделе “Доступные оснастки” запись “Сертификаты” и нажимаем “Добавить”.

Выбираем пункт “Учетной записи компьютера” и нажимаем далее.

Оставляем, эта оснастка управляет “Локальным компьютером” и нажимаем готово.

Видим, что в корень консоли был добавлен пункт “Сертификаты”, нажимаем “Ok”.

Следующим шагом, переходим в раздел “личное – Сертификаты” и щелкаем по ним правой кнопкой мыши, из контекстного меню выбираем пункт “Все задачи (All Tasks) – Дополнительные операции (Advanced Options) – Создать настраиваемый запрос (Create Custom Request)”

У вас откроется мастер регистрации сертификатов, на первом экране просто нажимаем “Далее”.

В выборе политики регистрации сертификатов выбираем пункт “Продолжить без политики регистрации (roceed without enrolment Policy)”.

В шаблоне выставляем “Старый ключ (без шаблона)”, формат записи “PKCS#10” и нажимаем далее.

Раскрываем подробности и щелкаем по кнопке “Свойства”.

У вас откроется дополнительная форма со свойствами запрашиваемого сертификата. В понятном имени задаем, как будет вам удобно идентифицировать ваш сертификат, я подпишу его *.root.my-sertif.ru, в описании можете задать Wildcard SSL сертификат для домена root.my-sertif.ru.

Переходим на вкладку “Субъект”, это самое важное в настройке Wildcard сертификата. Тут задается с какими доменными именами будет работать SSL, его поля. Задаваемые поля:

Переходим на вкладку “Расширения (Extensions)”, тут мы зададим под, что мы будем использовать ваш Wildcard SSL сертификат, так называемые OID (Оиды). Раскрываем пункт “Использование ключа”, из левой панели переносим вот такие пункты:

Так же при необходимости можете открыть “Расширенное использование ключа”, тут много дополнительных возможностей:

Переходим на вкладку “закрытый ключ (private key)”. В разделе “Параметры ключа” выставите его размер, у меня это будет 4096 байт, обязательно поставьте галку “Сделать закрытый ключ экспортируемым (Make private key exportable)”

При необходимости вы можете задать тип ключа в вашем Wildcard SSL. Тут будет два варианта:

При желании вы потом с помощью утилиты certutil можете поменять тип у сертификата

Достаточно будет оставить значение по умолчанию (Подпись), второй режим часто используют в VPN построениях. Нажимаем “Ok”

В окне сведения о сертификате нажимаем далее.

Вас попросят указать имя файла и где его сохранить, оставляем формат файла в виде “base 64”. Base 64 – это метод кодирования, разработанный для использования с безопасными/многоцелевыми расширениями почты Интернета (S/MIME), который является популярным, стандартным методом для передачи двоичных вложений через Интернет.

Двоичные данные – DER (отличительные правила кодирования) для ASN.1, как определено в Рекомендации X.509, может использоваться центрами сертификации, которые не работают на компьютерах под управлением Windows Server 2003, поэтому он поддерживается для обеспечения совместимости. Файлы сертификатов DER используют расширение .cer.

В результате вы получите с вашим CSR запросом. Откройте данный файл с помощью любого текстового редактора и скопируйте его содержимое. Далее вы переходите в веб интерфейс вашего центра сертификации по адресу:

Как работает wildcard

Для работы с WildCard используется «подстановочный знак» — это «*», который заменяет другие символы. Это позволяет защитить несколько поддоменов доменного имени.

Проверка при помощи dns записи (dns cname)

Достаточно популярный метод, для тех у кого может не быть настроен майл-сервер, а э-почта во Whois закрыты приватной регистрацией. Суть проста, вы должны сделать особую запись в Вашем DNS, и центр сертификации его проверит. Метод полностью автоматический.

Продукты wildcard ssl

Все известные центры сертификации предлагают продукты типа Wildcard SSL. Например:

• PositiveSSL Wildcard от Comodo — сертификат с проверкой домена, гарантия $10 000, время выпуска до 15 минут, статическая печать доверия.
• EssentialSSL Wildcard от Comodo — сертификат с проверкой домена, гарантия $10 000, время выпуска до 15 минут, статическая печать доверия.
• RapidSSL Wildcard от GeoTrust — сертификат с проверкой домена, гарантия $50 000, время выпуска до 15 минут, статическая печать доверия, бесплатный перевыпуск сертификата.
• Premium SSL Wildcard от Comodo — сертификат с проверкой организации, гарантия $250 000, время выпуска около 10 дней, динамическая печать доверия, поддержка IDN-доменов.
• TrueBusiness ID Wildcard от GeoTrust — сертификат с проверкой организации, гарантия $250 000, время выпуска около 10 дней, динамическая печать доверия, неограниченное лицензирование.

С расширенной проверкой (extended validation)

Престиж и доверие — вот основа сертификатов с расширенной проверкой. Только EV сертификаты обеспечат Ваш сайт зелёной адресной строкой в браузере, а это пожалуй самый простой способ доказать Вашим посетителям, что вы думаете об их безопасности, шифруете данные, а самое главное, Вам можно доверять. Чаще всего такие сертификаты можно встретить у банков, онлайн систем с большим кол-во посетителей, практически во всех Интернет магазинах и других сайтов через которые проходят потоки важной информации. Получить такой сертификат не просто, процесс трудоёмкий, но результат не заставит себя ждать.