Funcționează certificatele SSL care conțin două wildcard (în special pe Let's Encrypt)?

Doresc să includ două caractere metalice într-un certificat SSL (va fi) semnat de Let's Encrypt: *.*.thost3.de. Se potrivește acest certificat cu orice nume de gazdă care se potrivesc cu regula respectivă (de ex. exemplu.exemplu.thost3.de, salut.world.thost3.de), și poate Let's Encrypt să accepte existența unor astfel de caractere joker în certificatele pe care le-au semnat?

Nu, acest lucru NU TREBUIE (în sensul RFC de „NU TREBUIE”) să funcționeze, așa cum documentate în RFC 6125 (Reprezentarea și verificarea serviciului de aplicații bazate pe domenii Identitate în cadrul infrastructurii cu cheie publică de internet folosind X.509 (PKIX) Certificate în contextul securității stratului de transport (TLS)):

Dacă un client potrivește identificatorul de referință cu un prezentat
identificatorul a cărui porțiune de nume de domeniu DNS conține caracterul metalic
caracterul „*”, se aplică următoarele reguli:

1. Clientul NU TREBUIE să încerce să se potrivească cu un identificator prezentat în care caracterul wildcard cuprinde o altă etichetă decât eticheta cea mai din stânga (de exemplu, nu se potrivește cu bara.*.example.net).

2. Dacă caracterul wildcard este singurul caracter al etichetei din stânga din identificatorul prezentat, clientul NU TREBUIE să compare față de orice altceva decât eticheta cea mai din stânga a identificatorului de referință (de exemplu, *.example.com se potrivește cu foo.example.com, dar nu bar.foo.example.com sau example.com).

[...]

Punând aceste două împreună:

• nu puteți avea un wildcard în altă parte decât partea din stânga (separată printr-un punct) a certificatului: un wildcard interior este invalid.
• nu puteți avea ca un certificat wildcard să se potrivească cu o parte suplimentară de etichetă (adică: separată de un punct) în stânga sa: din nou, asta înseamnă că, dacă a fost folosit un singur wildcard valid, nimic cu o parte din stânga suplimentară nu se poate potrivi (deci hello.world. thost3.de nu se poate potrivi cu certificatul *.thost3.de).

Ceea ce puteți face este să emiteți un certificat cu o mulțime de părți SAN, eventual ele însele cu un wildcard (valid). Dar nu sunt deloc sigur că puteți obține acest lucru acceptat de Let's Encrypt.

EDITAȚI | ×: *.stackexchange.com este semnat de Let's Encrypt cu mai multe SAN-uri având un wildcard.

Exemplu:

$ openssl s_client -connect stackexchange.com:443 </dev/null 2>/dev/null| openssl x509 -noout -text | grep -A1 „X509v3 Nume alternativ al subiectului” | tr ',' '\n'
            X509v3 Nume alternativ al subiectului: 
                DNS:*.askubuntu.com
 DNS:*.blogoverflow.com
 DNS:*.mathoverflow.net
 DNS:*.meta.stackexchange.com
 DNS:*.meta.stackoverflow.com
 DNS:*.serverfault.com
 DNS:*.sstatic.net
 DNS:*.stackexchange.com
 DNS:*.stackoverflow.com
 DNS:*.stackoverflow.email
 DNS:*.superuser.com
 DNS:askubuntu.com
 [...]