複数のサーバーで使用する場合、管理性と悪用以外にワイルドカード証明書を使用しないというセキュリティ上の理由はありますか？
セキュリティ上の理由でワイルドカードSSL証明書を使用できないことを通知するセキュリティアドバイザーがいます。明確にするために、私は単一の証明書またはマルチドメイン証明書（SAN）を使用することを好みます。ただし、サーバー（プレスク）から数百のサブドメインをサーバーで処理する必要があります。
私の調査に基づいて、ワイルドカードを使用しない人のサイトの主な理由は、次のとおりです。
- セキュリティ：1つのサーバーまたはサブドメインが侵害された場合、すべてのサブドメインが侵害される可能性があります。
- 管理：ワイルドカード証明書を取り消す必要がある場合、すべてのサブドメインで新しい証明書が必要になります。
- 互換性：ワイルドカード証明書は、シームレスに動作しない場合があります
古いサーバーとクライアントの構成。 - 保護：VeriSign Wildcard SSL証明書は、NetSure延長保証によって保護されていません。
秘密鍵、証明書、およびサブドメインはすべて同じサーバー上に存在するため、置換はこの1つの証明書を置換するのと同じくらい簡単で、同じ数のユーザーに影響します。したがって、ワイルドカード証明書を使用しない別の理由はありますか？
私が知っている他の唯一の「問題」は Extended Validation証明書はワイルドカードで発行できない なので、EV証明書を取得する場合はオプションではありません。
セキュリティの点では、頭を釘付けにしました-単一の秘密鍵がワイルドカードの下にあるすべてのドメインを保護します。したがって、たとえば、マルチドメインがある場合SANをカバーする証明書www.example.comおよびsomething.example.com危険にさらされます。これらの2つのドメインのみが、危険にさらされたキーによる攻撃の危険にさらされています。
ただし、同じシステムが代わりに*.example.comwwwおよびsomethingサブドメインのSSLトラフィックを処理するための証明書が侵害された場合、そのサーバーで直接ホストされていないサービスでさえ、そのワイルドカードでカバーされているすべてが潜在的に危険にさらされます-webmail.example.com。
セキュリティ：1つのサーバーまたはサブドメインが侵害された場合、すべてのサブドメインが侵害される可能性があります。
何百もの仮想ホストに単一のWebサーバーを使用している場合は、すべての秘密鍵がそのWebサーバープロセスによって読み取り可能である必要があります。 1つのキー/証明書を読み取ることができれば、システムを危険にさらすことができる場合、そのWebサーバーが使用するすべての秘密キー/証明書を取得できる程度にシステムを危険にさらしている可能性があります。
キーは通常、rootだけがアクセスできるようにする特権でファイルシステムに保存されます。したがって、システムがルート化されている場合は、おそらくすべてを失っています。証明書が1つでも複数でもかまいません。
管理：ワイルドカード証明書を取り消す必要がある場合、すべてのサブドメインで新しい証明書が必要になります。
* .example.orgにワイルドカードを使用している場合は、単一の証明書を置き換えるだけで済みます。 one.example.org、two.example.org、three.example.orgの証明書がある場合は、3つの証明書を置き換える必要があります。したがって、ワイルドカード証明書の方が手間がかかりません。つまり、その証明書は取り消されて置き換えられますが、何百もの代わりに1つだけ置き換えればよいので、非常に簡単です。
互換性：ワイルドカード証明書は、古いサーバー/クライアント構成ではシームレスに機能しない場合があります。
これらのシステムはほぼ確実に更新する必要があります。彼らはほぼ確実に他の多くの脆弱性を持っています。