SSL通配符證書

Question

我正在尋找公司* .domain.com的通配符證書。 我不需要擴展驗證。 入門級問題：

• 我應該購買2級還是3級證書？ 主要區別是什么？

• 我可以在不同的機器（不同的IP）上安裝（使用）相同的證書/密鑰對嗎？ 一些CA要求使用專用IP，但我想對多個虛擬主機使用SNI。

• 總的來說，依靠SNI支持是一個好主意嗎？

Answer 1

我應該購買2級還是3級證書？ 主要區別是什么？

區別在於中間CA的數量，這無關緊要。 不同的CA在證書之間可能會有其他差異，例如生存期等，但這取決於CA。

我可以在不同的機器（不同的IP）上安裝（使用）相同的證書/密鑰對嗎？ 一些CA要求使用專用IP，但我想對多個虛擬主機使用SNI

只要在所有情況下主機名都與證書匹配，就可以對不同的IP，不同的端口，多台計算機等使用相同的證書沒有任何限制。 當然，每台機器都需要訪問私鑰，因此您可以通過增加更多機器來增加攻擊面。

總的來說，依靠SNI支持是一個好主意嗎？

這取決於您需要支持哪種系統。 如果您希望只有較新的瀏覽器作為客戶端，則SNI是可以的。 但是，IE8（Windows XP），某些Android應用程序（由於Apache HTTP庫的舊版本），Java的較早版本以及腳本語言（如Python，Perl等）的較舊版本不支持SNI，這些語言通常會用於自動執行任務。

如果您不僅想將證書用於Web，還想用於郵件，則情況可能更糟。