什么是通配符 SSL 證書？ 通配符證書是一種 SSL/TLS 證書，可用于保護(hù)多個(gè)域（主機(jī)），由域名字段中的通配符 (*) 指示。
如果您有很多需要保護(hù)的域或子域，這會很有幫助，因?yàn)樗梢怨?jié)省您的時(shí)間和金錢。 本文將討論通配符證書、它們的工作原理以及您可能希望避免在您的組織中使用它們的原因。
了解通配符證書
通配符 SSL 證書是可用于多個(gè)域子域的數(shù)字證書。 通配符證書通常用于具有許多子域的組織。 通配符證書對主域及其所有一級子域有效。
例如，*.http://example.com 的通配符證書可用于 Example Domain、mail.example.com、store.example.com 或 Example Domain 中的任何其他子域名。
通配符證書比標(biāo)準(zhǔn) SSL/TLS 證書更昂貴，因?yàn)樗鼈兪蔷哂邢嗤愿亩嘤蜃C書。 這使得它們易于配置和管理，而不是為每個(gè)域和子域使用多個(gè)證書。 然而，這種靈活性伴隨著某些安全和操作風(fēng)險(xiǎn)，包括：
密鑰泄露：如果證書的私鑰被泄露，攻擊者可以冒充該通配符證書下的任何域。 網(wǎng)絡(luò)罪犯使用證書托管惡意網(wǎng)站以進(jìn)行網(wǎng)絡(luò)釣魚活動(dòng)。
運(yùn)營負(fù)擔(dān)：通常，團(tuán)隊(duì)不記得他們安裝通配符證書的所有位置，因此難以大規(guī)模有效地跟蹤和管理。
停機(jī)和中斷：當(dāng)需要更新時(shí)，他們需要同時(shí)更新證書并將證書提供給所有位置（即，為每個(gè)服務(wù)器使用 SSL 證書而不是為所有服務(wù)器使用一個(gè)證書可以減少由以下原因引起的中斷和違規(guī)的爆炸半徑） 私鑰泄露）。
如何獲取通配符證書
可以從任何證書頒發(fā)機(jī)構(gòu) (CA) 購買通配符證書。 訂購?fù)ㄅ浞C書時(shí)，您必須指定主域名（例如 Example Domain）和子域（例如 *.example.com）。 然后 CA 將生成一個(gè)證書，該證書可用于保護(hù)指定域的所有子域。
通配符證書的好處
為您的網(wǎng)站使用通配符證書有一些好處：
節(jié)省時(shí)間和金錢：如果您有許多域或子域，使用單個(gè)通配符證書而不是多個(gè)標(biāo)準(zhǔn)證書會更高效且更具成本效益。
更高的靈活性：通配符證書提供比標(biāo)準(zhǔn)證書更大的靈活性，因?yàn)樗鼈兛捎糜诒Ｗo(hù)多個(gè)子域。 如果您將來需要添加或刪除子域，這會很有幫助。
使用通配符證書的缺點(diǎn)
對于通配符證書，風(fēng)險(xiǎn)通常大于收益，尤其是當(dāng)您的組織沒有正確的工具和流程來管理證書時(shí)：
產(chǎn)生安全風(fēng)險(xiǎn)：通配符證書的主要缺點(diǎn)是它們實(shí)際上會產(chǎn)生比安全性更大的風(fēng)險(xiǎn)。 通配符證書對所有子域使用單個(gè)共享私鑰。 因此，如果一個(gè)子域遭到破壞，則同一證書上的所有其他子域也容易受到攻擊。
難以追蹤：通配符證書的易用性可能具有欺騙性。 雖然易于分發(fā)，但在數(shù)十個(gè)甚至數(shù)百個(gè)服務(wù)器上跟蹤單個(gè)通配符 SSL 證書同樣具有挑戰(zhàn)性，尤其是當(dāng)它在所有位置同時(shí)過期時(shí)。
經(jīng)驗(yàn)教訓(xùn)：通配符證書中斷
2018 年 5 月，F(xiàn)ortnite 和 Rocket League 等流行視頻游戲的開發(fā)商 Epic Games 經(jīng)歷了一次大范圍中斷，導(dǎo)致數(shù)百萬玩家無法登錄和斷開連接。 停電原因？ 過期的通配符 SSL 證書。
有問題的證書安裝在 AWS 中數(shù)百個(gè)不同的生產(chǎn)服務(wù)中，因此影響廣泛。 許多游戲玩家感到沮喪和憤怒，紛紛在社交媒體上表達(dá)他們的不滿。
這一事件凸顯了通配符證書的潛在缺點(diǎn)之一。 由于通配符證書使用單個(gè)證書保護(hù)多個(gè)子域，因此過期的證書可能會導(dǎo)致廣泛的中斷。
如果您使用的是通配符證書，請跟蹤到期日期并及時(shí)更新以避免任何潛在問題。 Epic Games 花了五個(gè)半小時(shí)才從事件中完全恢復(fù)過來。 令人難以置信的是，他們將自己的經(jīng)驗(yàn)細(xì)節(jié)分享給業(yè)內(nèi)同行，并努力迅速解決問題。
通配符證書：捷徑，而非解決方案
通配符證書在大多數(shù)情況下是一種捷徑而不是解決方案。 如果更新、配置和安裝證書的過程是手動(dòng)且耗時(shí)的，那么簡單的解決方法是減少需要管理的證書數(shù)量。 有道理，對吧？ 不總是。
如果您有大量網(wǎng)站托管在少量基礎(chǔ)設(shè)施上，這可能有意義，但您需要嚴(yán)格控制通配符證書在這些系統(tǒng)中的分發(fā)和管理方式。
在開發(fā)和測試環(huán)境中，您可能需要?jiǎng)?chuàng)建臨時(shí)子域。 無需經(jīng)歷為這些子域創(chuàng)建和保護(hù)單個(gè)證書的麻煩（和費(fèi)用），您可以簡單地創(chuàng)建一個(gè)通配符證書并根據(jù)需要向其中添加臨時(shí)子域。
但是，在大多數(shù)情況下，應(yīng)避免使用通配符證書。 如果您只是想節(jié)省時(shí)間和金錢或使用通配符證書作為權(quán)宜之計(jì)，那么您只是在解決癥狀，而不是根本問題。 通過適當(dāng)?shù)谋O(jiān)控和自動(dòng)化，可以減輕證書管理的痛苦，同時(shí)還可以避免通配符證書的固有風(fēng)險(xiǎn)。
證書到期和更新
與所有數(shù)字證書一樣，通配符 SSL 證書也有有效期，需要進(jìn)行證書管理。 當(dāng)證書過期時(shí)，必須在所有位置更新和替換它。 如果未續(xù)訂證書，則其保護(hù)的網(wǎng)站將無法再通過 HTTPS 訪問，并將向訪問者顯示錯(cuò)誤消息。
續(xù)訂通配符 SSL 證書時(shí)，您需要生成新的證書簽名請求 (CSR) 并將其提交給您的證書頒發(fā)機(jī)構(gòu) (CA)。 請務(wù)必指定您要續(xù)訂通配符證書，因?yàn)?CA 會在生成新證書時(shí)考慮這一點(diǎn)。
證書生命周期管理
獲得通配符 SSL 證書后，您需要將其安裝在您的 Web 服務(wù)器（或多個(gè)服務(wù)器）上并正確配置。 之后，您應(yīng)該定期監(jiān)控證書以確保它仍然有效并且是最新的。 此過程稱為證書生命周期管理。
證書生命周期自動(dòng)化
許多企業(yè)自動(dòng)化證書生命周期以簡化通配符 SSL 證書的管理。 這可以通過像 Keyfactor Command 這樣的解決方案來完成，它可以自動(dòng)執(zhí)行 SSL/TLS 證書管理的所有方面，從注冊和安裝到監(jiān)控和續(xù)訂。 此過程稱為證書生命周期自動(dòng)化。
結(jié)論
底線：通配符證書在某些情況下很有用，但通常應(yīng)避免使用。 如果您購買了通配符證書，則必須安全地生成和存儲私鑰，并且您可以查看安裝證書的每個(gè)位置，以確保在證書過期之前對其進(jìn)行更新和替換。
————————————————
版權(quán)聲明：本文為博主原創(chuàng)文章，遵循 CC 4.0 BY-SA 版權(quán)協(xié)議，轉(zhuǎn)載請附上原文出處鏈接和本聲明。
來源：https://blog.csdn.net/lavin1614/article/details/128396760