AWS 证书管理器通配符证书有什么缺点吗？

Question

假设我正在使用 AWS Certificate Manager 获取example.com用于 AWS CloudFront的证书。我可以指定一个替代域www.example.com并将其指向我的 DNS 中的另一个 CloudFront 分配。

但是 AWS Certificate Manager 还允许我指定一个通配符*.example.com作为备用域，这将允许我将来设置我的 DNS 以路由blog.example.com到另一个 CloudFront 分配，如果我决定需要的话。

添加通配符域（例如*.example.comAWS Certificate Manager）是否有任何不利之处？是不是更贵了？它是否以某种方式使我的配置不灵活？为什么我不想总是将通配符指定*.example.com为备用域，因为这使我可以灵活地在将来随时添加子域？

Answer 1

好处是它非常灵活。通配符证书允许您将来添加备用域。一般来说，星级证书的“正常”缺点是它们可能很昂贵，并且可能会产生安全漏洞。

对于您的用例，它们根本不贵，而且AWS Certificate Manager是免费的：

通过 AWS Certificate Manager 配置的公共 SSL/TLS 证书是免费的。您只需为为运行应用程序而创建的 AWS 资源付费。

关于安全漏洞，当您将星级证书加载到服务器上时，这确实是一个问题。由于ACM证书在内部进行管理并在 AWS 服务上使用，因此它的脆弱性要小得多。

您不能直接在您的网站或应用程序上安装公共 ACM 证书。您必须使用与 ACM 和 ACM PCA 集成的服务之一来安装您的证书

我已经包含了一些参考资料，提供了有关通配符证书漏洞的更多详细信息。

参考

证书管理器定价

ACM 概述

通配符证书使加密更容易但不太安全

通配符 SSL 证书可能导致哪些漏洞