ssl - 保护私有(private) IP 地址(https 证书)

Question

我有一个不寻常的用例:

• Internet 上的 Web 服务器通过 HTTPS 提供页面，
• 在这些网页中，调用 XMLHttpRequests 到本地连接的设备(IP over USB)
  • 设备同时支持 HTTP 和 HTTPS，
  • 设备可通过 http(s)://192.168.0.1
  访问
• http 调用因 https 页面中的不安全内容而失败，
• https 调用失败，因为证书不受信任(自签名)，

附带问题:由于设备在本地连接到 PC，因此加密非常无用:是否存在允许不安全连接到特定 URL 的 http header ？ (比如跨域的 CORS)

主要问题:是否可以获取私有(private) IP 地址的证书？

编辑:Plex 似乎有类似的问题并按照 blog 中描述的方式解决了它.这对我来说太大了。

Answer 1

Is it possible to obtain a certificate for a private IP address ?

证书可以绑定(bind)到 IP 地址(参见 this )。您可以向私有(private)地址颁发自签名证书，但受信任的 CA 不会向私有(private)地址颁发证书，因为它无法验证其身份。

例如，颁发给 192.168.0.1 的证书在理论上在任何情况下都是有效的，并且受信任的 CA 不应允许这样做

Plex 使用动态 DNS 和通配符证书解决了这个问题。使用解析为私有(private) IP 的设备名称(而非 IP)完成连接

Does a http header exists that allows insecure connections to a specific URL ? (like CORS for cross domain)

不，它不存在。浏览器会阻止您的 XHR 连接，因为它们是从 HTTPS 页面发起的 HTTP 连接(混合内容警告)。理论上，攻击者可以读取或修改非安全内容，即使父页面是通过 HTTPs 提供的，这是正常现象，建议浏览器警告用户。

要修复混合内容和 https 错误，您可以通过 HTTPS 和自签名证书提供内容，并请求用户在浏览器中导入您的根 CA。