Es ist nicht erlaubt. Als protokollspezifische Ergänzung zur Standard-TLS-Hostnamenvalidierung haben alle großen Webbrowser (HTTPS-Clients) grundsätzlich zugestimmt, Wildcard-Zertifikate auf "eTLD + 1" zu beschränken. Das heißt, es muss eine "effektive TLD" plus eine weitere Nicht-URL geben -wildcard-Komponente
Im Allgemeinen bedeutet dies, dass mindestens zwei Komponenten erforderlich sind ( *.example.netist in Ordnung, *.netist aber nicht und auch nicht bloß *). Die "effektive TLD" -Regel erweitert dies auf mehrstufige Suffixe, da co.ukdiese in der Praxis als unteilbare "TLDs" verwendet werden. (So *.example.ac.ukist es erlaubt, aber *.ac.uknicht.)
Sie können überprüfen, wie die öffentliche Suffixliste in Chromium und Mozilla implementiert wird .
Siehe verwandte Diskussionen in Security.SE, die ein Angebot aus den CA-Browser-Forum-Grundanforderungen enthalten (die nur für öffentliche WebPKI-Zertifizierungsstellen gelten, jedoch immer noch die allgemeine Implementierung widerspiegeln):
CAs MÜSSEN alle Zertifikate widerrufen, bei denen ein Platzhalterzeichen an der ersten Position des Labels unmittelbar links von einem "registrierungskontrollierten" Label oder einem "öffentlichen Suffix" steht.
Um diese Einschränkung zu vermeiden, erstellen Sie eine Zertifizierungsstelle, die Zertifikate "on demand" für jede Website ausstellt, die Sie besuchen möchten. Ich weiß nicht, wie dies in einem normalen Webserver implementiert werden würde, aber dies ist eine gängige Methode, die von kommerziellen TLS-Abfangsystemen verwendet wird. Antivirus-Programme und andere Malware; und Entwicklungstools wie die Burp Proxy-Suite.
Beispielsweise hat der OpenResty-Webserver (im Wesentlichen Nginx-with-Lua) die ssl_certificate_by_luaMöglichkeit, eine dynamische Zertifikaterstellung zu implementieren. Der Squid-Proxy unterstützt in seiner Funktion "ssl-bump" das Nachahmen von Zertifikaten .
Beachten Sie auch, dass SANs den Subject-CN vollständig überschreiben, wenn beide vorhanden sind. Dies bedeutet, dass der CN weitgehend redundant ist (es sei denn, Ihre Client-Software ist so alt, dass SAN-Unterstützung fehlt). Für öffentliche Zertifizierungsstellen akzeptieren Webbrowser dies nicht mehr.