SSL-Zertifikat mit Kunden-Domains
Ein bekanntes Problem mit über SSL ausgelieferten Webseiten ist, dass https pro IP-Adresse nur ein Zertifikat erlaubt. Das bedeutet, dass üblicherweise Domains, die in Shared-Hosting-Umgebungen betrieben werden, kein korrektes Zertifikat besitzen können, sofern Sie nicht eine eigene IP-Adresse beanspruchen.
schokokeks.org bietet seinen Kunden ab sofort die Möglichkeit, ihre Domains in einem Gemeinschaftszertifikat eintragen zu lassen. Hierfür bieten SSL-Zertifikate die Möglichkeit, mehrere Domains mit der Direktive SubjectAltName einzutragen. Wie bereits bekannt, lassen wir unsere Zertifikate von der freien Zertifizierungsstelle CAcert unterschreiben.
Die Lösung mit SubjectAltNames behebt das Problem zwar rudimentär, jedoch ist diese Lösung nicht sonderlich elegant. Für die Zukunft planen wir deshalb den Einsatz von SNI (Server Name Indication), welches mehrere SSL-Zertifikate auf einer IP vorsieht. SNI ist eine Erweiterung des SSL/TLS-Standards. Interessanterweise ist die Unterstützung von SNI in den meisten Client-Applikationen bereits vorhanden. Firefox, Opera und Internet Explorer sind bereits SNI-fähig, Konqueror wird mit KDE 4 diese Möglichkeit erhalten. Einzig Safari ist bei den großen Browsern noch außen vor.
Was uns davon abhält, SNI nicht jetzt schon einzusetzen, ist die Tatsache, dass openssl (und damit apache mit mod_ssl) dies erst mit Version 0.9.9 unterstützen wird - und wann diese erscheint, ist noch unklar. Alternativ wäre der Einsatz von gnutls mit mod_gnutls möglich, jedoch gilt dies noch nicht als stabil einsetzbar.
Unabhängig davon wäre natürlich langfristig eine Lösung mit IPv6 zu bevorzugen. Auch hier ist schokokeks.org bereits vorbereitet und bietet auf Anfrage eigene Zertifikate über IPv6 schon jetzt.
Die VhostTaskForce bei CAcert bietet einen Überblick über die angesprochenen Möglichkeiten der SSL-Zertifikate.
