Scenarij 3.5: Izdajanje Wildcard certifikata

Ta scenarij opisuje izdajanje Wildcard certifikata (*.example.com). Wildcard certifikati zaščitijo vse poddomene ene domene z enim samim certifikatom.

Prednosti:

• En certifikat za vse poddomene
• Enostavnejše upravljanje
• Stroškovno učinkoviteje

Slabosti:

• Višje tveganje pri kompromitaciji
• Ne pokriva korenske domene
• Samo ena raven

using WvdS.Security.Cryptography.X509Certificates.Extensions.PQ;
 
using var ctx = PqCryptoContext.Initialize();
 
var caCert = ctx.LoadCertificate("intermediate-ca.crt.pem");
var caKey = ctx.LoadPrivateKey("intermediate-ca.key.pem", "CaPassword!");
 
// Par ključev za Wildcard
using var wildcardKey = ctx.GenerateKeyPair(PqAlgorithm.MlDsa65);
 
var dn = new DnBuilder()
    .AddCN("*.example.com")
    .AddO("Example GmbH")
    .AddC("DE")
    .Build();
 
// Ustvarjanje CSR
var csr = ctx.CreateCertificateRequest(
    wildcardKey, dn,
    new ExtBuilder()
        // Wildcard + korenska domena
        .SubjectAlternativeName(new[] {
            "dns:*.example.com",
            "dns:example.com"
        })
        .Build()
);
 
// Izdajanje Wildcard certifikata
var wildcardCert = ctx.IssueCertificate(
    csr,
    issuerCert: caCert,
    issuerKey: caKey,
    serialNumber: ctx.GenerateSerialNumber(),
    validDays: 365,
    extensions: new ExtBuilder()
        .BasicConstraints(ca: false, critical: true)
        .KeyUsage(KeyUsageFlags.DigitalSignature | KeyUsageFlags.KeyEncipherment)
        .ExtendedKeyUsage(ExtKeyUsage.ServerAuth)
        .SubjectKeyIdentifier(csr.PublicKey)
        .AuthorityKeyIdentifier(caCert)
        .CrlDistributionPoint("http://crl.example.com/intermediate.crl")
        .Build()
);
 
wildcardCert.ToPemFile("wildcard.crt.pem");
wildcardKey.ToEncryptedPemFile("wildcard.key.pem", "SecurePassword!");

Za več ravni poddomen kombinirajte več Wildcardov:

.SubjectAlternativeName(new[] {
    "dns:example.com",
    "dns:*.example.com",          // www, api, app, itd.
    "dns:*.dev.example.com",      // dev1.dev, dev2.dev, itd.
    "dns:*.staging.example.com"   // staging okolja
})

Najboljše prakse:

• Centralno shranjevanje zasebnega ključa (HSM)
• Kratka veljavnost (maks. 1 leto)
• Ločeni Wildcard certifikati za Prod/Dev/Staging
• Nadzor za vse poddomene

« ← 3.4 S/MIME certifikat | ↑ Pregled certifikatov | 4. Upravljanje certifikatov → »

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional