C'è un problema di sicurezza nell'usare lo stesso certificato per tutti i servizi di un'azienda?

L'uso dello stesso certificato non influisce in alcun modo sulla sicurezza fondamentale della connessione stabilita che lo utilizza.

L'unica possibile "debolezza" introdotta utilizzando lo stesso certificato è che se quel certificato scade o viene trapelato, tutti i siti saranno interessati. Poiché questo certificato si trova su più server e alcuni di essi potrebbero essere server di prova con meno sicurezza, esiste la possibilità che la chiave privata di tale certificato possa essere inavvertitamente trapelata o esposta da uno di questi server non controllati. Questo non è certamente un fallimento della sicurezza fornita dal certificato, ma piuttosto un errore nel mantenere segreta la chiave privata del certificato.

L'alternativa sarebbe utilizzare certificati separati per tutti i tuoi siti, il che significherebbe che avresti l'onere amministrativo di dover rinnovare, proteggere e monitorare più certificati.

Se proteggi adeguatamente i dettagli privati di quel certificato, non c'è motivo per cui utilizzarlo possa introdurre ulteriori problemi di sicurezza.

Ci sono due punti deboli con questo modello.

1) Perdita di informazioni. Includere gli URL di dev / qa / etc nel certificato consente di trovare più facilmente questi ambienti. Spesso sono meno sicuri rispetto all'ambiente di produzione attuale poiché viene utilizzato per testare il codice. Se sono presenti altri controlli per limitare l'accesso come gli ACL del router / firewall (o qualcos'altro), ciò non è altrettanto importante.

2) Contenimento compromesso. Consiglio vivamente di dedicare un certificato solo per la produzione. Se per qualche ragione l'ambiente dev / qa / etc viene compromesso e l'accesso alla chiave privata è stato raggiunto, è necessario chiedersi se il traffico di produzione è stato compromesso (ad es. MITM). I certificati SSL sono molto convenienti al giorno d'oggi che suggerirei di dedicare un certificato solo per la produzione.

Come ha detto @anon, il problema principale è la perdita di informazioni. Chiunque si rechi in uno qualsiasi dei tuoi siti può vedere i nomi di tutti gli altri elencati nel certificato (a meno che tu non scelga di ottenere un certificato con caratteri jolly, tuttavia un certificato con caratteri jolly non ti consente di aggiungere il livello extra test.service... , perché il jolly non può contenere punti in esso). Se non ti interessa che i visitatori di service possano vedere che wiki , bugs , ecc. Esistono, allora quello non è un problema.

In generale, preferisco usare certificati autofirmati per testare siti. Questo dà solo un'ulteriore indicazione che il sito non è in produzione. Ho iniziato a farlo dopo aver ricevuto un numero di ordini sul sito di test per un negozio online. (Il fatto che dicesse in grassetto in cima a ogni pagina di non usare il sito non sembrava importare, ma risultava che la maggior parte di loro erano ordini di frodi, ma non è questo il punto.) Avere il " questo sito non è attendibile "avviso pop-up aiuta a smettere di provare a comprare su quel sito.