ssl - 我们如何将 SAN 添加到现有的 PKCS12？

Question

我们有一个符合 pkcs 12 约定的通配符 .pfx 文件。我们有一家供应商正在尝试使用它，但它只适用于 whatever.company.com 站点(用于桌面)，而不适用于 m.whatever.company.com 站点(用于移动设备)。我们假设发生这种情况是因为通配符证书仅适用于 *.company.com，而不适用于 *.*.company.com。

我们是否需要为 *.*.company.com 创建一个新证书，或者有没有人知道一种方法...我不知道...附加额外的子-现有证书的子域？也许使用 keytool 和/或 OpenSSL ....？

Answer 1

首先，您不能在不使签名失效的情况下编辑现有的签名证书。如果签名无效，证书将被视为无效并被浏览器拒绝。试想一下，如果可以编辑证书并且浏览器接受编辑后的证书:在这种情况下，攻击者可以轻松修改其自己域的现有证书，以包括他想对其进行中间人攻击的任何其他域.

除此之外，像 *.*.example.com 这样的通配符是不可能的，即只允许使用一个通配符，并且只能在最左边的标签中使用。