Hallo,
meine Seite ist über zwei Server verteilt:
Server 1:
my.tld
www.my.tld
abc.my.tld
Server 2:
service.my.tld
xyz.my.tld
Ist es jetzt besser:
1) Ein "großes" Zertifikat mit allen Subdomains zu erstellen und auf
Server 1 & 2 zu verteilen
2) Zwei Zertifikate (für jeden Server eins) zu erstellen und dort nur
die nötigen Subdomains einzutragen?
Vorteil von 1) wäre, dass jeder Server ohne große Änderung die anderen
Domains bedienen kann (für Wartung, Ausfall etc.).
Vorteil von 2) wäre, dass ein Angreifer nur wenige Domains kapern kann
(für die eben der Server zuständig war), anstatt sich z.B. auch als
Hauptseite ausgeben zu können.
Wie würdet ihr das machen?
Und noch ein Zusatzfrage: Wo lagert ihr die Zertifikate/priv. Schlüssel,
nachdem sie auf dem Server installiert sind? Die sind ja IMHO relativ
heikel...
P.S. Ich verwende Startssl, habe also keine Zusatzkosten für weitere
Zertifikate.
Tr schrieb:> P.S. Ich verwende Startssl, habe also keine Zusatzkosten für weitere> Zertifikate.
die bieten doch keine Wildcards an oder nicht? Damit bleibt doch nur
Variante 1 übrig.
Private-Key muss eh auf dem Server liegen, damit Apache & Co es
verwenden können oder willst du es jedes mal beim starten manuell
eingeben?
Schau dir mal letsencrypt an!
Generell kann niemand was mit deinem privaten key anfangen solange er
nicht man-in-the-middle spielt...
Wie du die zertifikate aufteilst ist Geschmacksache. Sobald jedoch hsts
zum einsatz kommt ist es ggf. Sinnvoller 1 zertifikat zu verwenden
Peter II schrieb:> die bieten doch keine Wildcards an oder nicht? Damit bleibt doch nur> Variante 1 übrig.
Doch klar, sobald man sich Class 2 oder Class 3 validiert hat. Sie
verlangen halt Geld für den Validierungsprozess. Aber das ist quasi
nichts im Vergleich zu manch anderen Anbietern bei denen man 100€+ latzt
für ein Wildcardzertifikat.
es gäbe noch Variante 3:
für jede Subdomain ein eigenes Cert erstellen und dann den Webserver
über SNI das jeweils passende an den Client liefern lassen.
Gerade wenn Du EV-Certs haben möchtest ist das sinnvoll weil dort
Wildcards nciht möglich sind.
Ich würde pro Server eins erstellen. Hat den Vorteil, dass wenn du am
Server 1 irgendwas änderst, du nicht das Zertifikat von Server 2
mitziehen musst.
Mit letsencrypt erstellst du dir für z.B. Server 1 ein Zertifikat mit
genau den domain-Namen, die du zertifizieren willst
D. I. schrieb:>> die bieten doch keine Wildcards an oder nicht? Damit bleibt doch nur>> Variante 1 übrig.>> Doch klar, sobald man sich Class 2 oder Class 3 validiert hat.
Hier steht aber:
https://community.letsencrypt.org/t/frequently-asked-questions-faq/26
[...]
Will Let’s Encrypt issue wildcard certificates?
We currently have no plans to do so, but it is a possibility in the
future. Hopefully wildcards aren’t necessary for the vast majority of
our potential subscribers because it should be easy to get and manage
certificates for all subdomains.
[...]
Risiko des gemeinsamen Wildcard-Zertifikats ist, dass wenn ein Server
kompromittiert ist, du auf allen Servern neue Zertifikate ausrollen
musst.
Ich würde trotzdem ein gemeinsames Wildcard-Zertifikat nehmen.
1. funktioniert es auch bei ganz alten Browsern, die kein SNI können.
2. Kannst du nach belieben noch weitere Subdomains nutzen ohne dich um
das Zertifikat zu kümmern (z.B. test-....my.tld)
3. Bist du flexibler, wenn du mal Seiten hin und herrangieren musst.
Wenn auf einem Server mal was kaputt sein sollte ist es einfach,
beliebige Subdomains auf den anderen Server um zu ziehen. Du kannst
sogar alles auf beiden Server installieren und die zweite Instanz als
Cold-Standby oder testing-Umgebung nutzen.
Irgendwas kaputt gemacht? DNS zurückgestellt, geht wieder. (TTL
beachten)
Peter II schrieb:> D. I. schrieb:>>> die bieten doch keine Wildcards an oder nicht? Damit bleibt doch nur>>> Variante 1 übrig.>>>> Doch klar, sobald man sich Class 2 oder Class 3 validiert hat.>> Hier steht aber:
Die Rede war von StartSSL
Tilo R. schrieb:> Ich würde trotzdem ein gemeinsames Wildcard-Zertifikat nehmen.> 1. funktioniert es auch bei ganz alten Browsern, die kein SNI können.
Man kann mit Let's Encrypt mehrere Domainnamen in ein Zertifikat packen,
dan ist SNI nicht notwendig. Ich habe einen Server mit einem Container,
an welchen ich Anfragen für /.well-known/ umleite. Darin lasse ich Let's
Encrypt laufen und kopiere das Zertifikat auf die Server.
> 3. Bist du flexibler, wenn du mal Seiten hin und herrangieren musst.
Man kann doch mehrere Zertifikate auch einfach Zusammenkopieren, oder?
Nunja, wenn die Leute darauf bestehen, Geld rauszuwerfen, kann man
nichts machen...
Daniel A. schrieb:> Man kann doch mehrere Zertifikate auch einfach Zusammenkopieren, oder?
Kann man natürlich machen, bringt nur nichts. Ohne SNI kann der Server
nur genau ein Zertifikat präsentieren. Mit SNI wählt er genau ein
Zertifikat aus, das man für den angefragten FQDN konfiguriert hat.
Georg A. schrieb:> Ältere SW kommt manchmal mit SNI nicht zurecht. Wenn da also mehr als> nur Webbrowser unterwegs sind, sollte man das vorher ausführlich> testen...
Nicht mal jede HTTPS-Java-Bib für Android beherrscht SNI, ...
(traurigerweise)
@Moderator
Ich weiß nicht, weshalb mein Beitrag gelöscht wurde. Es wurde nach einer
persönlichen Meinung gefragt, wie man es am besten machen kann.
Ich habe meine Meinung bzw. meine Voraussetzung und meine Lösung
aufgezeigt und wie man diese am günstigen erzielen kann. Ich denke mein
Beitrag war sehr hilfreich.
Die Frage ist schön etwas ein halbes Jahr alt. Aber für Tr und andere
Leute ist/kann es (immer noch) interessant sein.
Naja ich werde mich zukünftig um andere Foren umschauen, es macht hier
kein Spaß. Da hier scheinbar ziemlich stark zensiert.
VG Tobi
PS: Ich werde ohne Angaben von Namen und Links den Beitrag nochmals
posten. Soll sich TR eben selbst umschauen wo er Zertifikate von C**
unter 9EUR für 1 Jahr erhält.
@ Tr
Ich habe eine ähnliche Serveraufteilung, wobei auf einem Root-Server
mehrere Virtuelle-Server installiert sind. Ich verwende für jede Domain
bzw. Sub-Domain ein separates SSL-Domain-Zertifikat. Das bedeutet in
deinem Fall musst du 5-mal ein Zertifikat erstellen. Für mich war der
Hauptgrund der Preis. Wenn du einen günstigen SSL-Händler hast kommst du
unter 50EUR pro Jahr für alle SSL Zertifikate. Als kleiner Tipp, ich
nehme die *** Zertifikate von *** die
sind extrem günstig und ich hatte bis jetzt nur gute Erfahrungen mit
*** gemacht.
VG Tobi
Also an der Stelle muss ich auch sagen, daß ich das Löschen des Beitrags
nicht gut finde. Ich habe den Original-Beitrag von Tobi vor der Löschung
gelesen.
Da der Anbieter im Vergleich zu anderen günstiger ist, habe ich ihn
gleich in meine Bookmarks aufgenommen. Einen Austausch über günstige
Angebote hier im Forum finde ich sehr nützlich, das hat mir schon ne
Menge Sucherei gespart.
So, und damit die anderen auch was davon haben, hier nochmal der Link
von Tobi: https://goto-ssl.de/
Und ja, ich kenne letsencrypt. Aber mit den 3 Monaten Laufzeit ist das
nur dort praktikabel, wo ein automatisches Verlängern möglich ist. Aber
das ist es bei weitem nicht bei allen Systemen, die heutzutage ein
Zertifikat brauchen.
