যদি একাধিক সার্ভারে ব্যবহার করা হয় তবে পরিচালনা ও শোষণ ব্যতীত ওয়াইল্ডকার্ড শংসাপত্র ব্যবহার না করার কোনও সুরক্ষার কারণ আছে?

Question

আমার কাছে একটি সুরক্ষা উপদেষ্টা রয়েছে যা আমাকে বলছে যে আমরা সুরক্ষার কারণে ওয়াইল্ডকার্ড এসএসএল শংসাপত্রগুলি ব্যবহার করতে পারি না। পরিষ্কার হওয়ার জন্য আমি একক শংসাপত্র বা মাল্টি-ডোমেন শংসাপত্রগুলি (সান) ব্যবহার করতে পছন্দ করি। তবে আমাদের 100s সাবডোমেন সার্ভারে সার্ভারের (plesk) প্রয়োজন।

আমার গবেষণার ভিত্তিতে লোকদের ওয়াইল্ডকার্ড ব্যবহার না করার মূল কারণটি নিম্নলিখিত যা যা যাচাই করে দেখা যাচ্ছে:

• সুরক্ষা: যদি একটি সার্ভার বা সাব-ডোমেন আপোস করা হয় তবে সমস্ত উপ-ডোমেন আপস হতে পারে।
• পরিচালনা: যদি ওয়াইল্ডকার্ড শংসাপত্র প্রত্যাহার করা দরকার হয়, সমস্ত উপ-ডোমেনগুলির জন্য একটি নতুন শংসাপত্রের প্রয়োজন হবে।
• সামঞ্জস্যতা: ওয়াইল্ডকার্ড শংসাপত্রগুলি
  পুরানো সার্ভার-ক্লায়েন্ট কনফিগারেশনের সাথে নির্বিঘ্নে কাজ করতে পারে না ।
• সুরক্ষা: ভেরি সিগন ওয়াইল্ডকার্ড এসএসএল শংসাপত্রগুলি নেটসুরে বর্ধিত ওয়ারেন্টি দ্বারা সুরক্ষিত নয়।

যেহেতু প্রাইভেট কী, সার্টি, এবং সাবডোমেন সমস্ত একই সার্ভারে উপস্থিত থাকবে ... প্রতিস্থাপনটি এই এক সার্টের প্রতিস্থাপনের মতোই সহজ হবে এবং একই পরিমাণ ব্যবহারকারীর উপর প্রভাব ফেলবে। সুতরাং ওয়াইল্ডকার্ড শংসাপত্র ব্যবহার না করার আরেকটি কারণ আছে?

Comments

লাইনটি সর্বদা ধূসর, তবে আপনার উপকারের জন্য আরও বেশি, এটি আইটি সিকিউরিটি এসইতে সত্যিই খুব ভাল খাপ খায়। এই ছেলেরা খুব ভাল কিছু তথ্য থাকবে । শুধু একটি ভাবনা.

— Univ426

ওয়াইল্ডকার্ড ডোমেনের অধীনে একাধিক সাবডোমাইন (একই ডোমেনে হোস্ট) একই আইপি ঠিকানাটি ভাগ করতে পারে? আমি এর আগে কখনও যাচাই করে নিই, তবে তারা যদি তা করতে পারে তবে অনেকগুলি আইপি অ্যাড্রেস ব্যবহার করা এড়াতে একটি ওয়াইল্ডকার্ড সার্ট ব্যবহার করা ন্যায়সঙ্গত বলে মনে হয়। অন্যথায় আমি এটিকে এক্সপোজারের ডিস্কের বিনিময়ে শংসাপত্রের ব্যয় হিসাবে সংরক্ষণ করি (অনেকগুলি মেশিনে ছড়িয়ে দেওয়া হলে আরও বেশি)।

— স্কেপেইরেন

@ স্কাপেরেন, হ্যাঁ, ওয়াইল্ডকার্ড শংসাপত্রের সাহায্যে আপনি একটি আইপিতে প্রচুর বিভিন্ন সাইট হোস্ট করতে পারেন।

— জোরডেচে

মনে রাখবেন যে আইপি ঠিকানাটি এসএসএল শংসাপত্রে উপস্থিত হয় না।

— স্টিফান লাসিউইস্কি

আমি যখন আমার কেস উপস্থাপন করেছি তখন সুরক্ষা উপদেষ্টা পুনঃপ্রকাশ করেছেন এবং আমরা এটিকে একক সার্ভার / পরিষেবাতে বিচ্ছিন্ন করার কারণে তিনি কোনও যুক্তিসঙ্গত কারণ নিয়ে আসতে পারেননি।

— গ্রে রেস

Answer 1

কেবলমাত্র অন্য 'গোটাচা' যা সম্পর্কে আমি সচেতন তা হ'ল বর্ধিত বৈধকরণ শংসাপত্রগুলি ওয়াইল্ডকার্ড দিয়ে জারি করা যায় না , তাই আপনি যদি কোনও ইভি শংসাপত্রের জন্য যান তবে এটি কোনও বিকল্প নয়।

সুরক্ষার ক্ষেত্রে, আপনি মাথায় পেরেকটি আঘাত করেছেন - একটি একক ব্যক্তিগত কী ওয়াইল্ডকার্ডের অধীনে থাকা সমস্ত ডোমেনকে সুরক্ষা দেয়। সুতরাং, উদাহরণস্বরূপ, যদি আপনার কাছে কোনও মাল্টি-ডোমেন SAN শংসাপত্র থাকে যা আচ্ছাদিত হয় www.example.comএবং something.example.comআপস হয় তবে কেবলমাত্র সেই দুটি ডোমেনই আপোষযুক্ত কী দিয়ে আক্রমণ করার ঝুঁকিতে রয়েছে।

তবে, যদি একই সিস্টেমটি পরিবর্তে *.example.comএসএসএল ট্র্যাফিক wwwএবং somethingসাবডোমেনগুলির জন্য পরিচালনা করার জন্য একটি শংসাপত্র চালাচ্ছিল এবং আপস করা হয়েছিল, তবে সেই ওয়াইল্ডকার্ড দ্বারা আচ্ছাদিত সমস্ত কিছুই সম্ভবত ঝুঁকির মধ্যে রয়েছে, এমনকি পরিষেবাগুলি সেই সার্ভারে সরাসরি হোস্ট করা হয়নি - বলুন webmail.example.com,।

Comments

এটি কি সত্য নয় যে কোনও সিএর একই ওয়াইল্ডকার্ড শংসাপত্রের জন্য অনেক শংসাপত্র তৈরির উপায় রয়েছে? অন্য কথায়, তারা এক ডোমেনের ওয়াইল্ডকার্ড শংসাপত্রের জন্য অনেকগুলি ব্যক্তিগত / পাবলিক কী জোড়কে মঞ্জুরি দেয় যেমন একটি ব্যক্তিগত কী আপোস করা হচ্ছে তা অন্যের জন্য কোনও সমস্যা সৃষ্টি করে না।

— ডেভিড স্যান্ডার্স

Answer 2

সুরক্ষা: যদি একটি সার্ভার বা সাব-ডোমেন আপোস করা হয় তবে সমস্ত উপ-ডোমেন আপস হতে পারে।

আপনি যদি কয়েকশ ভার্চুয়াল হোস্টের জন্য একটি একক ওয়েব সার্ভার ব্যবহার করেন তবে সমস্ত ব্যক্তিগত কীগুলি সেই ওয়েব সার্ভার প্রক্রিয়া দ্বারা পঠনযোগ্য হবে। যদি কোনও ব্যক্তি যদি সিস্টেমে কোনও বিন্দুতে আপস করতে পারে তবে যদি তারা একটি কী / শংসাপত্র পড়তে পারে তবে তারা সম্ভবত ইতিমধ্যে সিস্টেমে এমন একটি বিন্দুতে আপত্তি করেছে যেখানে তারা সেই ওয়েব সার্ভার দ্বারা ব্যবহৃত সমস্ত প্রাইভেট কী / শংসাপত্র দখল করতে পারে।

কীগুলি সাধারণত সুবিধার সাথে ফাইল সিস্টেমে সংরক্ষণ করা হয় যা কেবলমাত্র সেগুলি অ্যাক্সেস করার অনুমতি দেয়। সুতরাং যদি আপনার সিস্টেমটি মূলযুক্ত হয় তবে আপনি সম্ভবত সমস্ত কিছু হারিয়ে ফেলেছেন। আপনার যদি একক সার্টিফিকেট বা অনেকগুলি থাকে তবে তা সত্যিই বিবেচ্য নয়।

পরিচালনা: যদি ওয়াইল্ডকার্ড শংসাপত্র প্রত্যাহার করা দরকার হয়, সমস্ত উপ-ডোমেনগুলির জন্য একটি নতুন শংসাপত্রের প্রয়োজন হবে।

আপনি যদি * .example.org এর জন্য ওয়াইল্ডকার্ড ব্যবহার করছেন তবে আপনার কেবলমাত্র একটি একক শংসাপত্র প্রতিস্থাপন করতে হবে। আপনার যদি এক.এক্স.মাম.এল.অর্গ.এল, two.example.org, এবং থ্রি.এক্স.মাম.আর.এল.এর জন্য একটি শংসাপত্র থাকে তবে আপনাকে 3 টি শংসাপত্র প্রতিস্থাপন করতে হবে। তাই ওয়াইল্ডকার্ড শংসাপত্রের কাজ কম less হ্যাঁ, সেই শংসাপত্রটি প্রত্যাহার করে প্রতিস্থাপন করা হবে, তবে যেহেতু আপনাকে কেবলমাত্র কয়েকজনের পরিবর্তে একটি প্রতিস্থাপন করতে হবে, তাই এটি খুব সহজ হওয়া উচিত।

সামঞ্জস্যতা: ওয়াইল্ডকার্ড শংসাপত্রগুলি পুরানো সার্ভার-ক্লায়েন্ট কনফিগারেশনের সাথে নির্বিঘ্নে কাজ করতে পারে না।

এই সিস্টেমগুলি প্রায় অবশ্যই আপডেট করা দরকার। তাদের প্রায় অবশ্যই অন্যান্য অনেক দুর্বলতা রয়েছে।