什么是通配符 SSL 證書？ 通配符證書是一種 SSL/TLS 證書，可用于保護多個域（主機），由域名字段中的通配符 (*) 指示。
如果您有很多需要保護的域或子域，這會很有幫助，因為它可以節(jié)省您的時間和金錢。 本文將討論通配符證書、它們的工作原理以及您可能希望避免在您的組織中使用它們的原因。
了解通配符證書
通配符 SSL 證書是可用于多個域子域的數(shù)字證書。 通配符證書通常用于具有許多子域的組織。 通配符證書對主域及其所有一級子域有效。
例如，*.http://example.com 的通配符證書可用于 Example Domain、mail.example.com、store.example.com 或 Example Domain 中的任何其他子域名。
通配符證書比標準 SSL/TLS 證書更昂貴，因為它們是具有相同注冊根的多域證書。 這使得它們易于配置和管理，而不是為每個域和子域使用多個證書。 然而，這種靈活性伴隨著某些安全和操作風險，包括：
密鑰泄露：如果證書的私鑰被泄露，攻擊者可以冒充該通配符證書下的任何域。 網(wǎng)絡(luò)罪犯使用證書托管惡意網(wǎng)站以進行網(wǎng)絡(luò)釣魚活動。
運營負擔：通常，團隊不記得他們安裝通配符證書的所有位置，因此難以大規(guī)模有效地跟蹤和管理。
停機和中斷：當需要更新時，他們需要同時更新證書并將證書提供給所有位置（即，為每個服務(wù)器使用 SSL 證書而不是為所有服務(wù)器使用一個證書可以減少由以下原因引起的中斷和違規(guī)的爆炸半徑） 私鑰泄露）。
如何獲取通配符證書
可以從任何證書頒發(fā)機構(gòu) (CA) 購買通配符證書。 訂購?fù)ㄅ浞C書時，您必須指定主域名（例如 Example Domain）和子域（例如 *.example.com）。 然后 CA 將生成一個證書，該證書可用于保護指定域的所有子域。
通配符證書的好處
為您的網(wǎng)站使用通配符證書有一些好處：
節(jié)省時間和金錢：如果您有許多域或子域，使用單個通配符證書而不是多個標準證書會更高效且更具成本效益。
更高的靈活性：通配符證書提供比標準證書更大的靈活性，因為它們可用于保護多個子域。 如果您將來需要添加或刪除子域，這會很有幫助。
使用通配符證書的缺點
對于通配符證書，風險通常大于收益，尤其是當您的組織沒有正確的工具和流程來管理證書時：
產(chǎn)生安全風險：通配符證書的主要缺點是它們實際上會產(chǎn)生比安全性更大的風險。 通配符證書對所有子域使用單個共享私鑰。 因此，如果一個子域遭到破壞，則同一證書上的所有其他子域也容易受到攻擊。
難以追蹤：通配符證書的易用性可能具有欺騙性。 雖然易于分發(fā)，但在數(shù)十個甚至數(shù)百個服務(wù)器上跟蹤單個通配符 SSL 證書同樣具有挑戰(zhàn)性，尤其是當它在所有位置同時過期時。
經(jīng)驗教訓(xùn)：通配符證書中斷
2018 年 5 月，F(xiàn)ortnite 和 Rocket League 等流行視頻游戲的開發(fā)商 Epic Games 經(jīng)歷了一次大范圍中斷，導(dǎo)致數(shù)百萬玩家無法登錄和斷開連接。 停電原因？ 過期的通配符 SSL 證書。
有問題的證書安裝在 AWS 中數(shù)百個不同的生產(chǎn)服務(wù)中，因此影響廣泛。 許多游戲玩家感到沮喪和憤怒，紛紛在社交媒體上表達他們的不滿。
這一事件凸顯了通配符證書的潛在缺點之一。 由于通配符證書使用單個證書保護多個子域，因此過期的證書可能會導(dǎo)致廣泛的中斷。
如果您使用的是通配符證書，請跟蹤到期日期并及時更新以避免任何潛在問題。 Epic Games 花了五個半小時才從事件中完全恢復(fù)過來。 令人難以置信的是，他們將自己的經(jīng)驗細節(jié)分享給業(yè)內(nèi)同行，并努力迅速解決問題。
通配符證書：捷徑，而非解決方案
通配符證書在大多數(shù)情況下是一種捷徑而不是解決方案。 如果更新、配置和安裝證書的過程是手動且耗時的，那么簡單的解決方法是減少需要管理的證書數(shù)量。 有道理，對吧？ 不總是。
如果您有大量網(wǎng)站托管在少量基礎(chǔ)設(shè)施上，這可能有意義，但您需要嚴格控制通配符證書在這些系統(tǒng)中的分發(fā)和管理方式。
在開發(fā)和測試環(huán)境中，您可能需要創(chuàng)建臨時子域。 無需經(jīng)歷為這些子域創(chuàng)建和保護單個證書的麻煩（和費用），您可以簡單地創(chuàng)建一個通配符證書并根據(jù)需要向其中添加臨時子域。
但是，在大多數(shù)情況下，應(yīng)避免使用通配符證書。 如果您只是想節(jié)省時間和金錢或使用通配符證書作為權(quán)宜之計，那么您只是在解決癥狀，而不是根本問題。 通過適當?shù)谋O(jiān)控和自動化，可以減輕證書管理的痛苦，同時還可以避免通配符證書的固有風險。
證書到期和更新
與所有數(shù)字證書一樣，通配符 SSL 證書也有有效期，需要進行證書管理。 當證書過期時，必須在所有位置更新和替換它。 如果未續(xù)訂證書，則其保護的網(wǎng)站將無法再通過 HTTPS 訪問，并將向訪問者顯示錯誤消息。
續(xù)訂通配符 SSL 證書時，您需要生成新的證書簽名請求 (CSR) 并將其提交給您的證書頒發(fā)機構(gòu) (CA)。 請務(wù)必指定您要續(xù)訂通配符證書，因為 CA 會在生成新證書時考慮這一點。
證書生命周期管理
獲得通配符 SSL 證書后，您需要將其安裝在您的 Web 服務(wù)器（或多個服務(wù)器）上并正確配置。 之后，您應(yīng)該定期監(jiān)控證書以確保它仍然有效并且是最新的。 此過程稱為證書生命周期管理。
證書生命周期自動化
許多企業(yè)自動化證書生命周期以簡化通配符 SSL 證書的管理。 這可以通過像 Keyfactor Command 這樣的解決方案來完成，它可以自動執(zhí)行 SSL/TLS 證書管理的所有方面，從注冊和安裝到監(jiān)控和續(xù)訂。 此過程稱為證書生命周期自動化。
結(jié)論
底線：通配符證書在某些情況下很有用，但通常應(yīng)避免使用。 如果您購買了通配符證書，則必須安全地生成和存儲私鑰，并且您可以查看安裝證書的每個位置，以確保在證書過期之前對其進行更新和替換。
————————————————
版權(quán)聲明：本文為博主原創(chuàng)文章，遵循 CC 4.0 BY-SA 版權(quán)協(xié)議，轉(zhuǎn)載請附上原文出處鏈接和本聲明。
來源：https://blog.csdn.net/lavin1614/article/details/128396760