SSL, EV SSL и перезапись URL - PullRequest
       31

SSL, EV SSL и перезапись URL

2 голосов
/ 01 апреля 2010

Мы широко используем сторонние приложения, которые мы будем называть thirdparty.com. thirdparty.com и mysite.com имеют общую навигацию и внешний вид, поэтому пользователи считают, что они всегда на mysite.com.

То, что мы собираемся сделать, это начать переписывать URL-адрес 3rd.mysite.com, чтобы отобразить thirdparty.com, чтобы он выглядел еще более как цельный опыт. Это также дает нам доступ к файлам cookie третьих сторон, потому что они будут записаны как mysite.com.

thirdparty.com имеет сертификат SSL, который они используют для нескольких избранных транзакций (в основном просто для входа в систему). Когда вы звоните https://3rd.mysite.com/login,, вы получаете 404, так как mysite.com не имеет SSL. Поэтому мы собираемся установить сертификат SSL на поддомен 3rd.mysite.com, чтобы решить эту проблему.

Вопрос в том, увидим ли мы это, если мы установим сертификат EV SSL, или он перейдет к сертификату с сайтаpartparty.com? Я могу придумать причины, по которым это работает в обоих направлениях, но я ищу окончательный ответ. Если они видят сертификат SSL, то нет смысла тратить деньги на EVSSL. Если они увидят EVSSL, я думаю, это было бы большим открытием для фишинга, если бы кто-то делал это незаконно.

Приветствия

1 Ответ

1 голос
/ 01 апреля 2010

Если пользовательские агенты видят сайт как thirdparty.com, им потребуется сертификат https для thirdparty.com. Так что, если это сертификат EV, то они действительно увидят зеленый свет. Конечно, вы захотите убедиться, что все коммуникации между thirdparty.com и mysite.com должны быть надлежащим образом защищены.

(Кстати: rfc2606, например, доменные имена.)

Отказ от ответственности: я не очень компетентен, чтобы ответить на этот вопрос, но это стекопоток.

...