fiht

签发 SSL 证书时使用邮箱验证域名所有权是否会存在安全隐患?

  •  
  •   fiht · Dec 28, 2017 · 3054 views
    This topic created in 3237 days ago, the information mentioned may be changed or developed.

    缘起

    1. AlphaSSL 家可以申请通配符证书。
    2. 证书的申请方式为:属于域名之后通过域名邮箱验证是否拥有域名所有权。

    以下为本人博客的签发过程 提交 CSR 证书之后选择上面任意的邮箱即可完成域名所有权验证。

    我觉得可能存在的问题

    如果能申请到

    [email protected]
    [email protected]
    [email protected]
    [email protected]
    [email protected]
    

    中的任意一个邮箱是不是就能获得 xxx.edu.cn 的证书呢?

    8 replies  •  2017-12-28 23:04:15 +08:00
    SourceMan
    SourceMan
    Dec 28, 2017
    1
    是的,已申请到一张野卡证书,感谢楼主提供新的免费野卡申请途径
    zn
    zn
    Dec 28, 2017 via iPhone❤️1
    2
    确实有这个安全隐患,所以这几个邮箱应该是重点照顾的,要么做好规则禁止注册,要么自己注册了然后禁用掉。

    PS: 我记得以前网易邮箱就是被人注册了个 hostmaster。还好对方没做坏事,及时通知了网易官方。
    iwtbauh
    iwtbauh
    Dec 28, 2017 via Android
    3
    对啊,以前 outlook 也发生过
    ColinZeb
    ColinZeb
    Dec 28, 2017
    4
    谁要签发证书试试 google 翻译能不能签发?
    https://translate.google.com/translate?hl=zh-CN&sl=auto&tl=zh-CN&u=https%3A%2F%2Fassl.space%2F

    感觉 google 这个就像一层反代
    ryd994
    ryd994
    Dec 28, 2017 via Android
    5
    不只是 example.com
    更是所有二级或更低域名
    datou
    datou
    Dec 28, 2017
    6
    这个不算 DV 证书吧?
    fiht
    fiht
    OP
    Dec 28, 2017
    7
    @ColinZeb 这个两码事吧,
    @datou 为什么不算 DV 证书?
    fiht
    fiht
    OP
    Dec 28, 2017
    8
    @ColinZeb 刚才手抖直接回复了。很高级的反代了这个,不过和访问源站还是有区别的。
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   2102 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 33ms · UTC 05:06 · PVG 13:06 · LAX 21:06 · JFK 00:06
    ♥ Do have faith in what you're doing.