¿Hay algún problema de seguridad si los certificados funcionan con subdominios de varios niveles? [duplicar]

Question

¿Hay algún problema de seguridad si los certificados funcionan con subdominios de varios niveles? [duplicar]

#1 de Steffen Ullrich (2 votos)
#2 de Mike Ounsworth (1 votos)

1

Si compra un dominio, puede pensar que tiene control total sobre sus subdominios. Bueno, no necesariamente cierto. Como esta pregunta y sus respuestas señalan, puede necesitar múltiples certificados SSL para cubrir subdominios de múltiples niveles porque la coincidencia de comodines solo funciona con un solo nivel de subdominio ( ref ).

Por ejemplo, *.example.com coincidirá con foo.example.com pero no con bar.foo.example.com .

Simplemente no puedo entender las preocupaciones de seguridad en el mismo. Mi mejor conjetura es que puede reducir el número de víctimas cuando el certificado está comprometido. ¿Hay otros beneficios de seguridad válidos de la restricción de coincidencia de comodín?

EDITAR: No es un dup. Las respuestas a esa pregunta no son satisfactorias desde el punto de vista de la seguridad. Son demasiado simples o se enfocan en otra cosa.

tls certificates

pregunta Cyker 26.11.2017 - 17:26

fuente

2 respuestas

Lea otras preguntas en las etiquetas tls certificates

Indicador de compromiso - Mozilla Firefox - Redirección de malware [cerrado] ¿Utilizando una VPN pero Akamai Technologies todavía se registra donde está mi computadora?

score 2 · Answer 1

Se debe emitir un certificado para la entidad que administra el dominio específico. Hay entornos donde diferentes subdominios son administrados por diferentes entidades. Este es, por ejemplo, a menudo el caso dentro de las universidades donde los diferentes departamentos tienen su propio subdominio y tienen sus propios sistemas dentro de este subdominio. Estos sistemas generalmente son administrados por el propio departamento y no centralmente por la universidad.

Si *.example.com coincidiría con cada subdominio y subsubdominio, no sería posible limitar el certificado comodín para que solo coincida con los hosts administrados por la entidad específica.

Aparte de eso, los dominios se utilizaron de manera diferente en el momento en que se hicieron estos estándares. El sistema de nombres de dominio fue realmente diseñado para ser utilizado de forma más jerárquica de lo que se usa hoy en día. La idea era usar el nombre de dominio como el punto de entrada principal para una organización, tener subdominios para las partes organizativas de las organizaciones como departamentos y tener nombres de host dentro de los subdominios y el dominio principal para identificar sistemas. Usar solo el nombre de dominio principal como en example.com en lugar de www.example.com es una cosa "relativamente" nueva y también subdominios de múltiples niveles sin tener detrás ninguna estructura organizativa. En este "viejo" mundo, un diseño en el que el comodín coincida con una sola parte tiene más sentido del que parece tener hoy en día, donde a menudo es más importante que un nombre de dominio parezca más sofisticado que un estructura organizativa real.

score 1 · Answer 2

Tengo entendido que muchos sitios que ofrecían servicios de alojamiento tuvieron problemas con esto.

Ejemplo: imagine que un sitio cheaphosting.com le ofrece registrar dominios bajo sites.cheaphosting.com . Así que voy a configurar un sitio web en mike.sites.cheaphosting.com . Tal vez estoy manejando transacciones con tarjeta de crédito, así que me consigo un certificado TLS para mi sitio.

Ahora, si CheapHosting, inc tiene un certificado de comodín para *.cheaphosting.com y la limitación del subdominio no estaba allí, entonces podrían usar este certificado para administrar mi sitio para que cualquier persona que se conecte mike.sites.cheaphosting.com seguirá teniendo el candado verde en su navegador, aunque la conexión esté siendo descartada por el certificado de comodín de nivel superior.

De manera similar, si un malvado alguna vez obtuvo un certificado de comodín para *.com sin límite de subdominio, ¡entonces podrían manejar el 3/4 de Internet! Así que simplemente prohibamos eso.