サブドメイン管理者が親ドメインの SSL 証明書を取得する：どさにっき

■ サブドメイン管理者が親ドメインの SSL 証明書を取得する _ 中国最大級の認証局「WoSign」がニセの証明書を発行していたことが判明。サブドメインの管理権限がある人が親ドメインの SSL 証明書が取得できちゃったんだって。この問題、他の CA でもあるんだよね、実は。 _ 具体的に言うと Let's Encrypt がそれ。 この記述。example.com ドメインの所有者かどうか判断する方法のひとつとして、_acme-challenge.example.com の TXT レコードに指定のトークンを記述せよ、というのが挙げられている。ということで、ユーザが自由にサブドメインを作れるサービス上で _acme-challenge というサブドメインを作成すれば親ドメインの証明書を発行してもらえる。今回の WoSign の件のように任意のサブドメインでいけるわけではなく、ラベルにアン

[kazuhooku]

DNSを使った認証の場合ha、example.comの所有者しか_acme-challengeを作ることはできないんだから、問題ないと思うけど

[tmatsuu]

WoSignは任意のサブドメインの管理権限があれば親のSSL証明書を取得できるのに対して、Let's Encryptは_acme-challengeが必要なので条件は厳しい。まぁ「_」つきのサブドメインは自由に取れない対応は必要だと思う

[stealthinu]

サブドメイン管理者が親ドメインのSSL証明書取得できちゃう件Let's Encryptというサービスでも出来ちゃうらしい。やまやさんが実際に自分のドメインで実験して試して報告済みだが対応されてないっぽい。

[dpprkng]

■ サブドメイン管理者が親ドメインの SSL 証明書を取得する

[n2s]

「ユーザが自由にサブドメインを作れるサービス上で _acme-challenge というサブドメインを作成すれば親ドメインの証明書を発行してもらえる」