jaká zranitelnost může být způsobena zástupným certifikátem ssl?
<p>v komentáři k <a href="https://security.stackexchange.com/questions/45/what-is-the-best-option-for-setting-up-a-several-sites-supporting-ssl-on-the-sam/172#172">tato odpověď</a> , avid říká:</p><p>"existuje řada bezpečnostních problémů s zástupnými ssl certifikáty."</p><p>jaké jsou tedy problémy? chápu, že stejný soukromý klíč se používá ve více kontextech, ale vzhledem k tomu, že jsem mohl hostit všechny své aplikace pod stejným názvem hostitele, nevidím to jako „nový“ problém zavedený zástupnými certifikáty.</p>
<p>„zástupný certifikát“ je certifikát, který obsahuje jako možný název serveru název obsahující „<code>*</code> "znak. podrobnosti jsou v <a href="http://tools.ietf.org/html/rfc2818#section-3.1">rfc 2818, oddíl 3.1</a> . sečteno a podtrženo: když certifikát serveru obsahuje <code>*.example.com</code>, bude přijato <strong>klienty</strong> jako platný certifikát pro jakýkoli server, jehož <em> zjevné jméno </em> odpovídá tomuto jménu.</p><p>v oblasti certifikace webových stránek existují čtyři hlavní aktéři:</p><ul> <li>samotný server ssl.</li> <li>prodejce webového prohlížeče, který bude klient používat.</li> <li>lidský uživatel, který do určité míry řídí, co bude klientský prohlížeč dělat.</li> <li>ca, který vydal certifikát serveru.</li> </ul><p>zástupné certifikáty nenaznačují další zranitelnosti serveru ssl; ssl server opravdu nemá zájem na pohledu na svůj vlastní certifikát. tento certifikát je ve prospěch klientů, aby je přesvědčil, že veřejný klíč obsažený v certifikátu je skutečně veřejným klíčem pravého serveru ssl. server ssl <em> zná </em> vlastní pár veřejných/soukromých klíčů a nemusí o tom být přesvědčen.</p><p>lidský uživatel netuší, co je veřejný klíč. co vidí, je ikona visacího zámku a co je důležitější, <strong>zamýšlený název server</strong>: to je jméno napravo od "<code>https://</code> "a před další" <code>/</code> ". webový prohlížeč <em> předpokládá </em> zpracování technických údajů o ověření správnosti názvu, tj. ověření certifikátu serveru a ověření, zda se název shoduje s názvem, který je zapíše-li se do uvedeného certifikátu. pokud prohlížeč tuto úlohu neprovede, bude považován za nedbalý a nepřevezme svou roli, což může mít vážné obchodní důsledky, možná i legální. obdobně je ca smluvně vázán dodržováním stanovených postupů pro identifikaci vlastníků ssl serverů, aby bylo pro útočníky obtížné získat falešné certifikáty (smlouva je mezi ca a jeho über-ca, rekurzivně, až na kořenovou ca, která je sama vázána paktem s os nebo prodejcem prohlížeče, který přijato za účelem zahrnutí kořenového klíče ca do os nebo prohlížeče za definovaných podmínek).</p><p>to znamená, že prohlížeč <em> </em> a <em> [~ # ~] ca [~ # ~] </em> musí v praxi , rozmazlovat uživatele procesem ověření. jsou více či méně povinni (ze zákona nebo, ještě přísněji, z obchodních důvodů), aby zabránili podvodníkovi uživatele pomocí falešných stránek, které vypadají oprávněně. hranice mezi úlohou uživatele a úlohou prohlížeče/ca není jasně definována a historicky se posunula. v days of yore, myslím asi před deseti lety, prohlížeče vytiskly pouze nezpracovanou url a bylo na lidském uživateli, aby v něm našel název serveru. to vedlo kované operátory webů (tj. „phishingové weby“) k použití url, které jsou technicky platné, ale zavádějící, jako je tato:</p><pre><code>https://www.paypal.com:payment-interface-login-session@xcvhjvb.com/confirm.html </code></pre><p>vzhledem k tomu, že lidští uživatelé jsou <em> lidé </em> a většina z nich čte zleva doprava (nejbohatší a naivní podvodné cíle jsou stále v západních zemích), začnou na vlevo, viz <code>www.paypal.com</code>, zastavte se u dvojtečky („příliš technické“) a buďte scammed.</p><p>v reakci na to dodavatelé prohlížečů uznali, že schopnosti lidských uživatelů analyzovat url nejsou tak dobré, jak se původně předpokládalo, a proto poslední prohlížeče zvýrazňují část domény. ve výše uvedeném případě by to bylo <code>xcvhjvb.com</code> a rozhodně ne nic s <code>paypal.com</code> v tom. nyní přichází část, kde <strong>zástupné certifikáty</strong> vstoupit do hry. pokud majitel <code>xcvhjvb.com</code> koupí zástupný certifikát obsahující "<code>*.xcvhjvb.com</code> ", pak může nastavit phishingový web s názvem:</p><pre><code>https://paypal-payment-interface-login-session.xcvhjvb.com/confirm.html </code></pre><p>který bude prohlížečem přijat (odpovídá názvu zástupného znaku) a bude stále pravděpodobně zachycovat nežádoucí uživatele (a je jich mnoho ...). toto jméno <em> mohl útočník koupit </em>, aniž by se uchýlil k zástupným znakům, ale pak by zaměstnanci ca viděli jméno se zjevným podvodným pokusem (dobrý ca <em> do </em> ověření platnosti každé žádosti o osvědčení člověkem nebo alespoň upozorňování na jména, která jsou velmi dlouhá a/nebo obsahují v nich známé názvy bank).</p><p>proto <strong>zástupné certifikáty snižují účinnost opatření proti podvodům na straně ca</strong>. je to jako prázdný podpis od ca. pokud budou pokusy o phishing na základě zástupných znaků běžnější, lze očekávat, že bude existovat jedno nebo několik z následujících opatření:</p><ul> <li>prohlížeče zvýrazňují pouze části názvu domény, které se shodují s <em> prvky, které nejsou v zástupném znaku </em> v certifikátu.</li> <li>ca vyžadují těžší papírování a smlouvy pro zástupné certifikáty (a ty budou dražší).</li> <li>prohlížeče zcela deaktivují podporu pro zástupné certifikáty.</li> </ul><p>ve skutečnosti očekávám, že všechna tři opatření budou použita v příštích letech. mohl bych se o tom úplně mýlit (to je problém s předpovídáním budoucnosti), ale tohle je pořád můj pocit střeva.</p><hr><p>můžeme také zdůraznit, že zástupné certifikáty jsou užitečné pro sdílení stejného páru klíčů mezi různými názvy serverů <em> </em>, což zvyšuje pravděpodobnost, že soukromý klíč bude sdílen mezi různými servery. <em> stroje </em>. cestování soukromými klíči je samo o sobě bezpečnostním rizikem; čím více soukromý klíč putuje, tím méně „soukromý“ zůstává.</p>
Jo mne ukazujem problem s certifukatom. Som si myslel, ze ze ma napadli hekeri... Predevším to znamená, že heslo bylo příliš snadno uhodnutelné (nick monk, heslo moncicak - to jen jako příklad) a hlavně podle všeho navíc všude stejné. Takže nové heslo musí splňovat nějaké parametry a pro každou službu použít jiné a tam kde je to možné použít dvouúrovňové ověření. To by pro začátek mohlo stačit. <p>zdá se mi to možné. většina z toho souvisí se správou serveru a nejen s wordpressem, takže pravděpodobně <a href="https://serverfault.com/search?q=wildcard+dns">server fault má také zajímavé informace o tomto problému</a> .</p><p>na straně dns byste vytvořili zástupný znak na serveru pomocí aplikace wordpress a definovali své další subdomény na serverech, které tyto servery hostují (některé nebo všechny mohou být stejné jako server wordpress). <a href="https://serverfault.com/questions/128673/where-would-a-wildcard-dns-record-be-prioritized/128724#128724">zástupné znaky mají vždy nejnižší prioritu</a> .</p><p>pro stranu serveru je užitečné vědět, že pokud požadavek dosáhne apache, ale v souboru <code>&lt;virtualhost&gt;</code> nenajde odpovídající <code>servername</code> nebo <code>serveralias</code>, vrátí se první virtuální host. takže nakonfigurujete nastavení wordpressu jako prvního hostitele a ostatní na něm spuštěné.</p> Ale prd, jistěže to něco zaručuje. Zaručuje to, že ti nikdo FB nehackne. To že ty potom svojí neschopností to heslo sám zadáš na falešné stránce nebo si ho necháš nějakým keyloggerem ukrást z počítače a nebo, což je nejpravděpodobnější, používáš ho na více dalších službách, to není hackování, ale hloupost uživatele. Ukazuje se, že problém nesouvisí s podpisem vůbec - je to proto, že soubor XML je sestaven. Chcete-li se podívat na obsah tohoto souboru je nutné použít `aapt`nástroj. Tyhle omezení jsou logická, brání se spamerům a počítám, že všude to bude dost podobné. Takže buď to rozdělit, pořídit si vlastní server, anebo to řešit úplně jinak, kupříkladu nějakou webovou stránkou, skupinou na facebooku nebo zkrátka nějak, aby to nenaráželo na limity emailu. Objevuje-li se to na víc zařízeních ve stejné síti, mám podezření na nějakou https inspekci. Pokud nejde o firemní síť (kde to má smysl a vyřeší vám to správce), ale děje se to u vás doma, uděláte nejlíp. když si pozvete domů odborníka. Může to být hloupost na tŕi kliknutí, ale taky práce na pár hodin. Popsat řešení vaší situace může mít rozsah diplomky. Křišťálová koule mi napovídá, že vám možná jen chybí root certifikát od Cisco Umbrella.Rámcový postup1. nastavte si synchronizaci času z nějakého důvěryhodného NTP serveru, ať je jistota, že vám jdou hodiny přesně. 2. Ujistěte se, že máte podporovaný a zalicencovaný OS a prohlížeč, máte aktuální certifikáty CA, máte aktuální antivir a definice.3. jaké DNS servery používáte? Je to opravdu Open DNS?4. Naimportujte si Cisco\_Umbrella\_Root\_CA, pak ten stroj restartujte[https://support.opendns.com/hc/en-us/articles/2279870...](https://support.opendns.com/hc/en-us/articles/227987007-Block-Page-Errors-Installing-the-Cisco-Root-CA#manual) Ve vašem OP, že jste nastavení manipulaci pro výchozí url.


Pro vaši druhou virtuální webový server, stačí použít konkrétní název hostitele v config, který je druhý název hostitele na stejném stroji. Tento jev se nazývá "name-based" virtuální hosting. Viz [wikipedii](http://en.wikipedia.org/wiki/Virtual_hosting) .


Nezapomeňte, že více hostitelů lze vyřešit na stejné IP adrese.


Můžete použít plnou dns systém, pokud budete chtít, stačí zadat místní síťovou adresu (192.168.xxx) - URL, nebude pracovat pro stroje není ve vaší lokální síti.


Více informací bude k dispozici na webmasterů SO webu.


**[Sloupek](http://www.geeksengine.com/article/apache-multiple-local-websites.html) s instrukcemi** Zabranis tomu tazko, pretoze ten robot, co to robi na 99% spoofuje tvoju adresu(tedaz, ze neposiela maily zo Seznamu ale z nejakeho ineho mailservera tak, ze iba imituje tvoju emailovu adresu.Preveril by som, ci nemas naozaj nejake maily odoslane tymto robotom.Mozes mat trebars infikovany mobil a posiela to rovno mobil atp.Pokial prijemcovia nemaju kvalitney alebo dobre nastaveny antispam, co do SPF, tak tomu bohuzial najskor nezabranis.Urcite nezaskodi zmenit heslo. Tak jsem cekal, jestli Ti neodpovi nekdo superfundovany, ale kdyz ne... neporadím, jen Ti řeknu, žes udělal něco špatně Kdysi jsem na tenhle problém taky narazil. Problém byl v tom profilu, "nějakým způsobem" se musí dostat ven z PC, aby to umožnilo vytvořit stejný profil se stejným názvem, pak už jede obnova zálohy bez problému. Promiň, že víc neporadím, je to už drahně měsíců. Návod jsem našel někde na netu. Tolik jen v rychlosti, musím "ke stroji". Určitě se najde někdo, kdo to vysype z rukávu...