Использование SSL-сертификата с перезаписью .htaccess - PullRequest
Новая
       16

Использование SSL-сертификата с перезаписью .htaccess

2 голосов
/ 01 октября 2009

Мне интересно, если у меня есть настройка перезаписи .htaccess на виртуальном поддомене, т.е. bm.example.com с перезаписью на www.example.com / index.php? U = someId и у меня есть сертификат SSL на www.example.com , возникнут ли у меня проблемы, если я попытаюсь получить доступ к https://bm.example.com?

Ответы [ 2 ]

3 голосов
/ 01 октября 2009

Соединение должно быть установлено, но вы, вероятно, получите несоответствие имени хоста, если для вашего SSL-сертификата не установлено значение *.mysite.com. SSL-сертификаты с подстановочными знаками обычно немного дороже, поэтому кто-то не может просто купить SSL-сертификат с подстановочными знаками и использовать его для фишинга и других злонамеренных целей.

0 голосов
/ 01 октября 2009

Соответствующие детали из rfc2818 HTTP через TLS :

Если имя хоста доступно, клиент ДОЛЖЕН проверить его на соответствие идентификатору сервера, как указано в сообщении сертификата сервера, для предотвращения атак «человек посередине».

Если клиент имеет внешнюю информацию относительно ожидаемой идентификации сервера, проверка имени хоста МОЖЕТ быть опущена. (Например, клиент может подключаться к машине, чей адрес и имя хоста являются динамическими, но клиент знает сертификат, который сервер будет присутствует.) ... В особых случаях может быть целесообразным, чтобы клиент просто игнорировал идентификацию сервера, но следует понимать, что это оставляет соединение открытым для активной атаки.

Если имя хоста не соответствует идентификатору в сертификате, ориентированные на пользователя клиенты ДОЛЖНЫ либо уведомить пользователя (клиенты МОГУТ предоставить пользователю возможность продолжить соединение в любом случае), либо разорвать соединение с ошибкой сертификата.

Автоматизированные клиенты ДОЛЖНЫ зарегистрировать ошибку в соответствующем журнале аудита (если имеется) и ДОЛЖНЫ разорвать соединение (с ошибкой сертификата). Автоматизированные клиенты МОГУТ предоставлять параметр конфигурации, который отключает эту проверку, но ОБЯЗАН предоставлять параметр, который ее включает.

...