Platzhalter ssl auf Sub-Subdomain [geschlossen]

Wir haben ein Wildcard-SSL-Zertifikat für * .domain.com und eine Website mit sub1.sub2.domain.com

Bei Safari 4.0.4 unter MacOsx wird ein Zertifikatfehler angezeigt (vermutlich aufgrund der Platzhalterinterpretation), bei Safari 4 unter Windows jedoch nicht.

Auch das Verhalten von ie8 ist bestenfalls gemischt, einige ie8 zeigen den Zertifikatfehler nicht an und andere nicht.

Was verursacht dieses seltsame Verhalten in Safari und IE?

Ein Wildcard SSL - Zertifikat für * .example.net Übereinstimmen sub.example.net aber nicht sub.sub.example.net .

Aus RFC 2818 :

Der Abgleich erfolgt nach den in RFC2459 angegebenen Abgleichsregeln . Wenn mehr als eine Identität eines bestimmten Typs im Zertifikat vorhanden ist (z. B. mehr als ein dNSName-Name, wird eine Übereinstimmung in einem der Sätze als akzeptabel angesehen.) Namen können das Platzhalterzeichen enthalten, das *als mit einer einzelnen Domäne übereinstimmend angesehen wird Namenskomponente oder Komponentenfragment. ZB *.a.comStreichhölzer foo.a.comaber nicht bar.foo.a.com. f*.comStreichhölzer foo.comaber nicht bar.com.

Wenn Sie ein Platzhalterzertifikat benötigen, das * .domain.com-Websites enthält und auch mit sub1.sub2.domain.com oder einer anderen Domain wie * .domain2.com zusammenarbeitet, können Sie dies mit einem einzigen Platzhalterzertifikat mit einem sogenannten Betreff lösen Alternative Name (SAN) -Erweiterung für jede der anderen Sub-Sub-Domänen. Ein SAN-Zertifikat gilt nicht nur für mehrere bestimmte Hostnamen, sondern kann auch für Platzhaltereinträge erstellt werden.

Zum Beispiel hätten * .domain.com, sub1.sub2.domain.com und * .domain2.com einen allgemeinen Namen von * .domain.com, dann würden Sie einen alternativen Betreffnamen von * .domain2.com und * Subdomain.com. Es kann von der Zertifizierungsstelle abhängen, wie sie Ihnen das Zertifikat in Rechnung stellen (oder nicht), aber es gibt einige, bei denen dieses Angebot verfügbar ist. Außerdem ist die Unterstützung von SAN im Webbrowserbereich weit verbreitet. Das beste Beispiel für diese Verwendung in der Praxis ist das SSL-Zertifikat von Google. Öffnen Sie Google und sehen Sie sich das SSL-Zertifikat an. Sie werden sehen, dass es für * .google.com, * .youtube.com, * .gmail.com und eine Reihe weiterer Programme funktioniert, in denen sie als alternative Betreffnamen aufgeführt sind.

Der Platzhalter wird nur auf den ersten Teil (von links) Ihrer Domain angewendet. Sie benötigen also ein Zertifikat für * .sub2.domain.com

Wenn Sie gemeint haben, dass Sie sub1.domain.com und sub2.domain.com haben, sollte es funktionieren.