Certificat SSL pour une adresse IP publique?

J'ai juste essayé d'acheter un SSL Comodo Positive, mais il a été rejeté car il ne prend pas en charge une adresse IP publique, mais il ne prend en charge qu'un nom de domaine.

Quelqu'un connaît-il un fournisseur de certificats SSL qui prend en charge l'adresse IP publique au lieu d'un nom de domaine?

Mon entreprise a un serveur dédié hébergé avec une société d'hébergement Web, qui est utilisé pour exécuter un bugtracker pour plusieurs projets (pour plusieurs clients). Puisqu'il n'est utilisé que pour un bugtracker, nous n'avons pas besoin d'un nom de domaine (nos clients y accèdent en tapant l'IP publique dans leur navigateur).

Je pense que vous pouvez le faire, mais pas de la façon dont vous essayez de le faire.

Un certificat SSL est une déclaration liant une clé de chiffrement publique à une structure X.500 qui comprend un élément CN ou Common Name; un certificat signé en est un où la liaison est certifiée de manière vérifiable par une autorité de certification tierce, en utilisant une clé publique déjà connue des utilisateurs finaux (cette pile de certificats d'autorité de certification (CA) vivant dans votre navigateur).

Lorsque vous visitez un site Web sécurisé SSL avec un navigateur, le CN signé est porté à la connaissance du navigateur. Ce que le navigateur choisit d'en faire dépend du navigateur. Les navigateurs que je connais le comparent au nom d'hôte demandé, et une erreur s'il est différent (ou si cette liaison certifiée ne résiste pas à l'analyse, par exemple le certificat de signature n'est pas connu du navigateur ou la liaison est sortante). à jour, mais c'est une autre question). Rien ne vous empêche en principe d'obtenir un certificat signé publiquement où le CN est une adresse IP et non un FQDN (nom de domaine complet) [1], mais cela ne fera pas comme par magie le navigateur compare le CN avec l'IP au lieu du nom d'hôte demandé .

Je soupçonne que la façon la plus simple de résoudre votre problème est de démarrer votre propre autorité de certification, ce qui est facile à faire, et il existe de nombreux didacticiels publics sur; l'un est ici . Une fois que vos utilisateurs finaux auront importé votre autorité de certification dans leur navigateur, tous les certificats que vous émettrez seront acceptés comme faisant autorité.

Vous pouvez alors avoir un deuxième problème en ce que vous souhaitez exécuter un grand nombre de sites NameVirtualHost sur une seule adresse IP. Cela a toujours été insurmontable, car (contrairement à TLS) la négociation SSL a lieu avant toute autre chose sur une connexion; c'est-à-dire que le CN incorporé dans votre certificat est communiqué et utilisé par le client avant que le client ne puisse dire à quel hôte il essaie de se connecter.

Récemment, une extension de protocole appelée SNI (Server Name Indication) semble avoir été introduite, ce qui permet au client et au serveur d'indiquer qu'ils aimeraient faire des trucs de nom d'hôte avant la présentation du certificat SSL, ce qui permet le bon d'un ensemble des certificats à fournir par le serveur. Apparemment, cela nécessite Apache 2.2.10, une version suffisamment récente d'OpenSSL et ( surtout ) une prise en charge côté client.

Donc, si je devais faire ce que vous essayez de faire, je chercherais à créer mon propre certificat CA, en disant à mes utilisateurs finaux qu'ils doivent utiliser des navigateurs qui prennent en charge SNI et importer mon certificat racine CA, et couper et signer mes propres certificats SSL pour chaque site bugtrack.

[1] D'accord, vous n'avez peut-être trouvé personne pour le faire, mais c'est un détail d'implémentation. Ce que j'essaie de montrer ici, c'est que même si vous le faisiez, cela ne résoudrait pas votre problème.

Je connais une autorité de certification racine qui est pré-remplie avec tous les principaux navigateurs et émet des certificats SSL sur les adresses IP publiques: jetez un œil à GlobalSign . Ils lisent les informations RIPE pour valider votre demande de certificat, vous voudrez peut-être d'abord vérifier que l'entrée RIPE est émise avec le nom correct.

En ce qui concerne les commentaires, cette entrée a obtenu:

Oui , il est préférable d'acheter un nom de domaine et d'émettre un certificat SSL sur ce CN. C'est aussi moins cher que l'option GlobalSign ci-dessus.

Mais il y a des cas où les certificats SSL avec une IP publique comme CN sont utiles. De nombreux fournisseurs d'accès Internet et gouvernements bloquent les sites indésirables basés sur l'infrastructure DNS. Si vous proposez une sorte de site susceptible d'être bloqué, par exemple pour des raisons politiques, c'est une bonne option pour que ce site soit accessible via son adresse IP publique. En même temps, vous aurez envie de trafic Chiffrer pour les utilisateurs et vous ne voulez pas que vos utilisateurs non-tech à passer par les tracas de cliquer par des avertissements d'exception de sécurité de leur navigateur (parce que le CN du certificat ne correspond pas à celui que vous avez entré). Leur faire installer votre propre autorité de certification racine est encore plus compliqué et pas réaliste.

Allez-y et achetez le nom de domaine. Ils sont bon marché, ne soyez pas moins chers que ça. Vous n'en avez besoin que d'un. Peut-être même simplement configurer bugtracker.yourcompany.com.

Ensuite, pour chaque bugtracker, configurez un sous-domaine pour ce nom. Obtenez un certificat SSL pour chacun de ces sous-domaines. Étant donné que vous semblez particulièrement opposé aux coûts, l'entreprise avec laquelle vous souhaitez faire affaire s'appelle StartSSL.

http://www.startssl.com/

La raison pour laquelle vous souhaitez les utiliser est que (en plus d'être approuvés par les principaux navigateurs), leurs certificats ne coûtent pas un bras et une jambe. Le type le plus basique de cert est vraiment, honnêtement, sans merde. Ils vérifient votre identité, puis vous permettent d'en émettre autant que vous le souhaitez. Si vous voulez des certificats plus sophistiqués (qui coûtent normalement plusieurs centaines de dollars), vous cherchez environ 50 $ pour 2 ans pour prendre en charge SSL pour plusieurs domaines sur une seule IP.

Ils sont super bon marché pour ce que vous obtenez. Ils émettent de vrais certificats, approuvés par les navigateurs de vos clients, et non des essais de 90 jours comme le font d'autres endroits.