Perché questo certificato è valido per così tanti domini?

Sembra che questo certificato funzioni per così tanti domini perché fa parte di un CDN. CDN o Content Delivery Networks forniscono file sempre uguali (o "statici"). Il logo del sito, alcune regole di stile per il sito web, quelle cose. La pagina stessa può cambiare, ad esempio in base al fatto che tu abbia effettuato l'accesso, ma spesso le immagini (e simili) non cambiano.

Tale CDN viene utilizzato perché più un server è vicino, più velocemente verrà caricata la pagina. Tuttavia, non tutti hanno le risorse per installare dozzine di server in tutto il mondo, quindi aziende come Cloudflare e Akamai offrono il loro spazio CDN (e una grande rete in grado di gestire un sacco di traffico), proprio come l'hosting viene venduto.

Per fornire tutti i dati in modo sicuro (ed evitare errori di contenuto misto), il certificato utilizzato dal server della CDN deve essere valido per tutti i domini per i quali ospita i file. Rischiare di essere in grado di falsificare molti domini rubando una singola chiave privata (e si ha solo bisogno di accedere a una delle centinaia di server), ma sembra superare i benefici. Sembra che siano soprattutto sottodomini (o forse solo sottodomini, non ho controllato).

Il certificato appartiene a EdgeCast, un CDN .

Il loro compito è quello di offrire contenuti per conto di altre società. I server che gestiscono questo genere gestiscono i risultati per centinaia o migliaia di domini diversi e hanno migliaia di server per questo scopo sparsi in tutto il mondo. Ci sono semplicemente troppi domini ospitati su questi server per fornire ciascuno il proprio IP, quindi se vogliono servire file CDN su SSL, devono condividere un singolo certificato SSL.

Il vantaggio marginale di offrire file ospitati da CDN su SSL è minimo, ma è particolarmente importante se si intende includere tali file in una pagina consegnata da SSL. Ricorda che se la tua pagina è SSL, tutte le immagini, gli script e le altre risorse devono essere forniti su SSL, indipendentemente dal dominio da cui provengono.

Si noti che nessuno dei domini SSL è il dominio "primario" per il sito. Invece sono nomi come images.goldstar.com e content.truste.com . Le società non condividono il proprio certificato SSL privato con tutti i loro vicini; questo certificato non funzionerà su goldstar.com o truste.com . Invece stanno controllando il controllo di un sottodominio single-purpose su edgecast e consentendo a edgecast di includere tutti questi sottodomini specifici di edgecast in un singolo certificato appositamente per questo scopo.

Nota
A chi ti stai affidando con la chiave del tuo sito? Edgecast, ovviamente. Sì, anche altre società hanno lo stesso certificato, ma la chiave privata non è controllata da te o da nessuno di essi; è controllato da EdgeCast. Ti stai affidando all'infrastruttura di EdgeCast per non consentire che i contenuti di altre aziende siano visibili sul tuo dominio. Questo è lo stesso grado di fiducia che concedi sempre in modo implicito a qualsiasi società che autorizzi a pubblicare contenuti per tuo conto. Il certificato in realtà non cambia questa relazione.

Avere un certificato per più domini crea un singolo punto di errore. Tuttavia, se un utente malintenzionato in cui ottenere la chiave privata, probabilmente hai problemi più grandi per le mani.

Sono chiamati certificati UCC / SAN. Quando si desidera proteggere più di un dominio, si acquista un certificato UCC. È molto conveniente rispetto all'acquisto di un certificato SSL standard. Molti fornitori di CERT usano 2048 bit per generare le chiavi, quindi non credo ci siano compromessi in termini di sicurezza.

Ecco il link a Wikipedia che confronta diversi certificati. link

Spero che aiuti ...

Alcune aziende utilizzano certificati con nomi SAN perché rendono più semplice il rinnovo e la gestione dei certificati. La distribuzione di 1 certificato su 100 siti Web è più semplice rispetto all'implementazione di 100 certificati su 100 siti Web.

È meno sicuro? Sì, è meno sicuro solo in senso tecnico. Molte volte le esigenze aziendali di facilità di gestione anticipano il pensiero di sicurezza convenzionale. Possono essere a corto di personale e hanno solo il tempo sufficiente per fare il minimo della sicurezza. L'argomento contrario è che non possono fare SSL se è troppo difficile (l'ho visto accadere)

Forse non hanno bisogno della sicurezza e stanno usando SSL per la vanità (o presunta sicurezza) di un determinato sito web. Sarei OK a scaricare le immagini utilizzando un certificato con uno spazio dei nomi SAN gonfiato come quello, tuttavia non vorrei utilizzare alcun sito bancario o governativo elencato in tale certificato.