Jak Subject Alternative Names (SAN) funguje?
Drtivá většina moderních programů používajících SSL zabezpečení (např. webový prohlížeč) postupuje následovně:
- Prohlížeč nejprve ověří, zda je v SSL certifikátu uveden seznam Subject Alternative Names. Pokud ano, ověří se, zda alespoň jedna doména uvedená v seznamu SAN souhlasí s doménou uvedenou v adresním řádku.
- Pokud ani jeden SAN záznam nesouhlasí, prohlížeč ověří, zda se v něm nachází souhlasící záznam ve wildcard formátu se zástupnou hvězdičkou (např. *.ssls.cz souhlasí s www.ssls.cz).
- Pakliže v seznamu SAN nebyl nalezen ani jeden odpovídající wildcard záznam nebo pokud SSL certifikát vůbec neobsahuje pole Subject Alternative Names, ověří se, zda doména v adresním řádku souhlasí s doménou uvedenou v poli Common Name (CN) SSL certifikátu, popř. zda je v CN uvedena doména v odpovídajícím wildcard formátu.
Jaké jsou výhody Subject Alternative Names (SAN)?
- Zabezpečíte více různých domén jediným SSL certifikátem
Výhodu zaznamenáte i při vystavení SSL certifikátu s podporou SAN — tzv. UCC (Unified Communication Certificates), zejména při procesu ověření organizace, kterým stačí projít pouze jednou. U více jednodoménových SSL certifikátů je nutné projít celým procesem ověření pro každý SSL certifikát zvlášť.
- Ušetříte cenné IP adresy
S UCC SSL certifikátem můžete zabezpečit více VirtualHost sdílejících jednu IP adresu. Díky Subject Alternative Names (SAN) už nemusíte pro zabezpečení každé domény přiřadit vlastní veřejnou IP adresu, které jsou čím dál vzácnější.
- Zjednodušíte konfiguraci SSL a ulehčíte systémovým prostředkům
Zabezpečení serveru jedním UCC SSL certifikátem s podporou SAN je výrazně jednodušší než zabezpečení serveru s více SSL certifikáty. Jednoduchost konfigurace SSL ocení zejména správci Exchange™ Server. Použitím SAN v jediném SSL certifikátu se navíc výrazně sníží množství PowerShell procesů.
Kde můžete vidět Subject Alternative Names (SAN)?
Seznam Subject Alternative Names (SAN) je uveden v SSL certifikátu v sekci Extensions.
Jednotlivé SAN domény si můžete prohlédnout v kterémkoliv webovém prohlížeči.
Na obrázku vidíte SSL certifikát se dvěma SAN pro stejnou doménu s 'www' i bez 'www'. Díky tomu v obou případech prohlížeč nebude zobrazovat varování o nedůvěryhodném SSL certifikátu.
Jaký je rozdíl mezi SAN certifikátem a Wildcard certifikátem?
SAN certifikát (UCC) zabezpečuje více zcela různých domén. Může zabezpečovat i více různých subdomén, například www.ssls.cz, ssls.cz, autodiscover.ssls.cz, www.alpiro.cz a alpiro.cz.
Wildcard certifikát zabezpečuje neomezený počet subdomén na jedné doméně. Např. wildcard certifikát pro *.ssls.cz zabezpečuje cokoliv.ssls.cz, ale už nezabezpečuje cokoliv.alpiro.cz.
Kompatibilita UC/SAN SSL certifikátů
Multidoménové UC/SAN certifikáty jsou kompatibilní se všemi moderními webovými prohlížeči, operačními systémy, servery, poštovními klienty a dalšími programy podporujícími SSL zabezpečení.
- všechny moderní webové prohlížeče včetně mobilních (Chrome, Firefox, Safari, Opera, Internet Explorer)
- všechny moderní mobilní platformy (iOS, Android, Windows, Symbian)
- moderní poštovní programy (Thunderbird, Apple Mail, Windows Mail, Office Outlook a další)
- všechny nejrozšířenější webové servery (Apache, IIS, nginx a další)
- všechny nejrozšířenější poštovní servery (Postfix, Sendmail, Exim, Dovecot, Exchange a další)
UC/SAN SSL certifikáty jsou dokonce kompatibilní i tam, kde se wildcard certifikáty potýkají pouze s částečnou nebo žádnou podporou (např. Exchange™ Server a Microsoft Office Communications Server). Čtěte více na téma kompatibilita wildcard SSL certifikátů.
Maximální počet SAN v SSL certifikátu
Často se nás ptáte, jaký je nejvyšší možný počet SAN domén v SSL/TLS certifikátu. Faktem je, že SAN záznamy v jednom SSL certifikátu nejsou omezeny konkrétním počtem. Obecně však platí, že kterékoliv rozšíření certifikátu (X.509 Extension) může mít v binární podobě nejvýše 4 kB (4 096 B).
Například 151 SAN záznamů (domén) o délce 25 znaků, včetně kódování (cca 2 B pro každý SAN záznam), dělá dohromady 4 081 B, což je těsně pod zmíněnou hranicí 4 kB. Záznamů tedy může být i více, pokud jsou kratší - podobně totiž vypočítáte, že se do jednoho SSL certifikátu vejde i 200 SAN záznamů o průměrné délce 18 znaků.
Přihlášení
