什么是通配符 SSL 證書(shū)？ 通配符證書(shū)是一種 SSL/TLS 證書(shū)，可用于保護(hù)多個(gè)域（主機(jī)），由域名字段中的通配符 (*) 指示。
如果您有很多需要保護(hù)的域或子域，這會(huì)很有幫助，因?yàn)樗梢怨?jié)省您的時(shí)間和金錢(qián)。 本文將討論通配符證書(shū)、它們的工作原理以及您可能希望避免在您的組織中使用它們的原因。
了解通配符證書(shū)
通配符 SSL 證書(shū)是可用于多個(gè)域子域的數(shù)字證書(shū)。 通配符證書(shū)通常用于具有許多子域的組織。 通配符證書(shū)對(duì)主域及其所有一級(jí)子域有效。
例如，*.http://example.com 的通配符證書(shū)可用于 Example Domain、mail.example.com、store.example.com 或 Example Domain 中的任何其他子域名。
通配符證書(shū)比標(biāo)準(zhǔn) SSL/TLS 證書(shū)更昂貴，因?yàn)樗鼈兪蔷哂邢嗤?cè)根的多域證書(shū)。 這使得它們易于配置和管理，而不是為每個(gè)域和子域使用多個(gè)證書(shū)。 然而，這種靈活性伴隨著某些安全和操作風(fēng)險(xiǎn)，包括：
密鑰泄露：如果證書(shū)的私鑰被泄露，攻擊者可以冒充該通配符證書(shū)下的任何域。 網(wǎng)絡(luò)罪犯使用證書(shū)托管惡意網(wǎng)站以進(jìn)行網(wǎng)絡(luò)釣魚(yú)活動(dòng)。
運(yùn)營(yíng)負(fù)擔(dān)：通常，團(tuán)隊(duì)不記得他們安裝通配符證書(shū)的所有位置，因此難以大規(guī)模有效地跟蹤和管理。
停機(jī)和中斷：當(dāng)需要更新時(shí)，他們需要同時(shí)更新證書(shū)并將證書(shū)提供給所有位置（即，為每個(gè)服務(wù)器使用 SSL 證書(shū)而不是為所有服務(wù)器使用一個(gè)證書(shū)可以減少由以下原因引起的中斷和違規(guī)的爆炸半徑） 私鑰泄露）。
如何獲取通配符證書(shū)
可以從任何證書(shū)頒發(fā)機(jī)構(gòu) (CA) 購(gòu)買(mǎi)通配符證書(shū)。 訂購(gòu)?fù)ㄅ浞C書(shū)時(shí)，您必須指定主域名（例如 Example Domain）和子域（例如 *.example.com）。 然后 CA 將生成一個(gè)證書(shū)，該證書(shū)可用于保護(hù)指定域的所有子域。
通配符證書(shū)的好處
為您的網(wǎng)站使用通配符證書(shū)有一些好處：
節(jié)省時(shí)間和金錢(qián)：如果您有許多域或子域，使用單個(gè)通配符證書(shū)而不是多個(gè)標(biāo)準(zhǔn)證書(shū)會(huì)更高效且更具成本效益。
更高的靈活性：通配符證書(shū)提供比標(biāo)準(zhǔn)證書(shū)更大的靈活性，因?yàn)樗鼈兛捎糜诒Ｗo(hù)多個(gè)子域。 如果您將來(lái)需要添加或刪除子域，這會(huì)很有幫助。
使用通配符證書(shū)的缺點(diǎn)
對(duì)于通配符證書(shū)，風(fēng)險(xiǎn)通常大于收益，尤其是當(dāng)您的組織沒(méi)有正確的工具和流程來(lái)管理證書(shū)時(shí)：
產(chǎn)生安全風(fēng)險(xiǎn)：通配符證書(shū)的主要缺點(diǎn)是它們實(shí)際上會(huì)產(chǎn)生比安全性更大的風(fēng)險(xiǎn)。 通配符證書(shū)對(duì)所有子域使用單個(gè)共享私鑰。 因此，如果一個(gè)子域遭到破壞，則同一證書(shū)上的所有其他子域也容易受到攻擊。
難以追蹤：通配符證書(shū)的易用性可能具有欺騙性。 雖然易于分發(fā)，但在數(shù)十個(gè)甚至數(shù)百個(gè)服務(wù)器上跟蹤單個(gè)通配符 SSL 證書(shū)同樣具有挑戰(zhàn)性，尤其是當(dāng)它在所有位置同時(shí)過(guò)期時(shí)。
經(jīng)驗(yàn)教訓(xùn)：通配符證書(shū)中斷
2018 年 5 月，F(xiàn)ortnite 和 Rocket League 等流行視頻游戲的開(kāi)發(fā)商 Epic Games 經(jīng)歷了一次大范圍中斷，導(dǎo)致數(shù)百萬(wàn)玩家無(wú)法登錄和斷開(kāi)連接。 停電原因？ 過(guò)期的通配符 SSL 證書(shū)。
有問(wèn)題的證書(shū)安裝在 AWS 中數(shù)百個(gè)不同的生產(chǎn)服務(wù)中，因此影響廣泛。 許多游戲玩家感到沮喪和憤怒，紛紛在社交媒體上表達(dá)他們的不滿。
這一事件凸顯了通配符證書(shū)的潛在缺點(diǎn)之一。 由于通配符證書(shū)使用單個(gè)證書(shū)保護(hù)多個(gè)子域，因此過(guò)期的證書(shū)可能會(huì)導(dǎo)致廣泛的中斷。
如果您使用的是通配符證書(shū)，請(qǐng)跟蹤到期日期并及時(shí)更新以避免任何潛在問(wèn)題。 Epic Games 花了五個(gè)半小時(shí)才從事件中完全恢復(fù)過(guò)來(lái)。 令人難以置信的是，他們將自己的經(jīng)驗(yàn)細(xì)節(jié)分享給業(yè)內(nèi)同行，并努力迅速解決問(wèn)題。
通配符證書(shū)：捷徑，而非解決方案
通配符證書(shū)在大多數(shù)情況下是一種捷徑而不是解決方案。 如果更新、配置和安裝證書(shū)的過(guò)程是手動(dòng)且耗時(shí)的，那么簡(jiǎn)單的解決方法是減少需要管理的證書(shū)數(shù)量。 有道理，對(duì)吧？ 不總是。
如果您有大量網(wǎng)站托管在少量基礎(chǔ)設(shè)施上，這可能有意義，但您需要嚴(yán)格控制通配符證書(shū)在這些系統(tǒng)中的分發(fā)和管理方式。
在開(kāi)發(fā)和測(cè)試環(huán)境中，您可能需要?jiǎng)?chuàng)建臨時(shí)子域。 無(wú)需經(jīng)歷為這些子域創(chuàng)建和保護(hù)單個(gè)證書(shū)的麻煩（和費(fèi)用），您可以簡(jiǎn)單地創(chuàng)建一個(gè)通配符證書(shū)并根據(jù)需要向其中添加臨時(shí)子域。
但是，在大多數(shù)情況下，應(yīng)避免使用通配符證書(shū)。 如果您只是想節(jié)省時(shí)間和金錢(qián)或使用通配符證書(shū)作為權(quán)宜之計(jì)，那么您只是在解決癥狀，而不是根本問(wèn)題。 通過(guò)適當(dāng)?shù)谋O(jiān)控和自動(dòng)化，可以減輕證書(shū)管理的痛苦，同時(shí)還可以避免通配符證書(shū)的固有風(fēng)險(xiǎn)。
證書(shū)到期和更新
與所有數(shù)字證書(shū)一樣，通配符 SSL 證書(shū)也有有效期，需要進(jìn)行證書(shū)管理。 當(dāng)證書(shū)過(guò)期時(shí)，必須在所有位置更新和替換它。 如果未續(xù)訂證書(shū)，則其保護(hù)的網(wǎng)站將無(wú)法再通過(guò) HTTPS 訪問(wèn)，并將向訪問(wèn)者顯示錯(cuò)誤消息。
續(xù)訂通配符 SSL 證書(shū)時(shí)，您需要生成新的證書(shū)簽名請(qǐng)求 (CSR) 并將其提交給您的證書(shū)頒發(fā)機(jī)構(gòu) (CA)。 請(qǐng)務(wù)必指定您要續(xù)訂通配符證書(shū)，因?yàn)?CA 會(huì)在生成新證書(shū)時(shí)考慮這一點(diǎn)。
證書(shū)生命周期管理
獲得通配符 SSL 證書(shū)后，您需要將其安裝在您的 Web 服務(wù)器（或多個(gè)服務(wù)器）上并正確配置。 之后，您應(yīng)該定期監(jiān)控證書(shū)以確保它仍然有效并且是最新的。 此過(guò)程稱為證書(shū)生命周期管理。
證書(shū)生命周期自動(dòng)化
許多企業(yè)自動(dòng)化證書(shū)生命周期以簡(jiǎn)化通配符 SSL 證書(shū)的管理。 這可以通過(guò)像 Keyfactor Command 這樣的解決方案來(lái)完成，它可以自動(dòng)執(zhí)行 SSL/TLS 證書(shū)管理的所有方面，從注冊(cè)和安裝到監(jiān)控和續(xù)訂。 此過(guò)程稱為證書(shū)生命周期自動(dòng)化。
結(jié)論
底線：通配符證書(shū)在某些情況下很有用，但通常應(yīng)避免使用。 如果您購(gòu)買(mǎi)了通配符證書(shū)，則必須安全地生成和存儲(chǔ)私鑰，并且您可以查看安裝證書(shū)的每個(gè)位置，以確保在證書(shū)過(guò)期之前對(duì)其進(jìn)行更新和替換。
————————————————
版權(quán)聲明：本文為博主原創(chuàng)文章，遵循 CC 4.0 BY-SA 版權(quán)協(xié)議，轉(zhuǎn)載請(qǐng)附上原文出處鏈接和本聲明。
來(lái)源：https://blog.csdn.net/lavin1614/article/details/128396760