SSL-Zert. für mehrere Domains aber nur einer IP möglich?

[s.h.a.r.k]

Hallo zusammen,

erst mal möchte ich erwähnen, dass ich den Apache als Webserver ansetze :) hatte gerade jedendalls mit einem Freund eine Unterhaltung und er war der Meinung, dass man nur ein SSL-Zertifikat für eine Domain nur für eine IP-Adresse ansetzen kann. Seiner Meinung nach kann man quasi nicht mehrere Zertifikate für mehrere Domains auf einem Server nutzen, d.h. bei nur einer IP-Adresse. Stimmt das wirklich? Wenn ja, dann gibts dafür wohl sicherlich einen sinnvollen Workaround, oder dergleichen? Oder gibt es einen anderen Typ an Zertifikat?

mfg
Armin

[Basilikum]

das stimmt so tatsächlich... das Problem ist im wesentlichen, dass der Server erst dann erfährt, an welcher Domain der Client "interessiert" ist, wenn die SSL-Negotiation bereits erfolgt ist, sprich das (falsche) Zertifikat bereits dem Client übermittelt wurde.

Es gibt sogenannte Wildcard-Zertifikate (z.B. *.delphipraxis.net), die sind jedoch sehr teuer und helfen nur dann, wenn alle zu bedienenden Domains Subdomain einer einzigen Domain sind (z.B. www.delphipraxis.net, test.delphipraxis.net, images.delphipraxis.net => *.delphipraxis.net).
Bisher habe ich keinen Anbieter gesehen, der ein Zertifikat auf verschiedene Common-Names ausstellt (was technisch möglich wäre, aber halt administrativ aufwändig).

[generic]

Naja grundsätzlich richtig, aber es gibt da was experimentelles. Leider sprechen nur wenige Browser diese SSL-Extension.
Der Apache kann das schon unterstützen, allerdings nicht in den Builds welche du bekommst.

Ct Artikel: Eine für alle
- Mehrere SSL-Zertifikate pro IP-Adresse unter Apache

[s.h.a.r.k]

Werde mir den Artikel mal durchlesen, müsste die C't hier irgendwo rumliegen habe. Vor lauter Arbeit komme ich aber nie zum Lesen :wall:

Danke auch fürs Feedback. Sowas ist ja bescheiden und imho auch eine gewisse Art der Fehlentwicklung. Finde sowas schon irgendwie seltsam, aber gut, dann muss ich mir was entsprechendes einfallen lassen.

[cware]

Diese Extension SNI (Server Name Indication) wurde in diesem c't Artikel näher beleuchtet:
http://sni.velox.ch/ct_2309_Apache_TLS_SNI.pdf

Alternativ kann man auch mit X.509 subjectAltName arbeiten...

[s.h.a.r.k]

danke für die weiteren informationen :thumb: