为什么我的浏览器认为 https://1.1.1.1 是安全的？

Question

当我访问https://1.1.1.1 时，我使用的任何网络浏览器都认为该 URL 是安全的。

这是谷歌浏览器显示的：

通常，当我尝试通过其 IP 地址访问 HTTPS 站点时，会收到如下安全警告：

根据我的理解，站点证书需要匹配域，但谷歌浏览器证书查看器没有显示1.1.1.1：

GoDaddy 的知识库文章“我可以申请内网名称或 IP 地址的证书吗？” 说：

否 - 我们不再接受 Intranet 名称或 IP 地址的证书请求。这是一项全行业标准，而不是特定于 GoDaddy 的标准。

^{_{（强调我的）}}

并且：

因此，自 2016 年 10 月 1 日起，证书颁发机构 (CA)必须撤销使用Intranet 名称或IP 地址的SSL 证书。

^{_{（强调我的）}}

和：

您应该重新配置服务器以使用完全限定域名 (FQDN)，例如www.coolexample.com，而不是保护 IP 地址和 Intranet 名称。

^{_{（强调我的）}}

早在 2016 年 10 月 1 日的强制撤销日期之后，证书1.1.1.1已于 2018 年 3 月 29 日颁发（如上图所示）。

---

怎么可能所有主流浏览器都认为https://1.1.1.1是可信的 HTTPS 网站？

Answer 1

GoDaddy 文档有误。证书颁发机构 (CA) 必须撤销所有 IP 地址的证书是不正确的……只是保留的 IP 地址。

^{_{来源：https : //cabforum.org/internal-names/}}

https://1.1.1.1的 CA是DigiCert，在撰写本答案时，它确实允许购买公共 IP 地址的站点证书。

DigiCert 有一篇关于此的文章，称为Internal Server Name SSL Certificate Issuance After 2015：

如果您是使用内部名称的服务器管理员，则需要重新配置这些服务器以使用公共名称，或者在 2015 截止日期之前切换到由内部 CA 颁发的证书。所有需要公共信任证书的内部连接都必须通过公开且可验证的名称完成（这些服务是否可公开访问并不重要）。

^{_{（强调我的）}}

Cloudflare 只是1.1.1.1从受信任的 CA那里获得了其 IP 地址的证书。

解析https://1.1.1.1的证书显示该证书使用主题备用名称 (SAN) 来包含一些 IP 地址和普通域名：

deltik@node51 [~]$ openssl s_client -showcerts -connect 1.1.1.1:443 < /dev/null 2>&1 | openssl x509 -noout -text | grep -A1 'Subject Alternative Name:'
            X509v3 Subject Alternative Name: 
                DNS:*.cloudflare-dns.com, IP Address:1.1.1.1, IP Address:1.0.0.1, DNS:cloudflare-dns.com, IP Address:2606:4700:4700:0:0:0:0:1111, IP Address:2606:4700:4700:0:0:0:0:1001

此信息也位于“详细信息”选项卡下的 Google Chrome 证书查看器中：

此证书对所有列出的域（包括通配符*）和 IP 地址均有效。

Answer 2

英语含糊不清。你是这样解析的：

(intranet names) or (IP addresses)

即完全禁止使用数字 IP 地址。与您所看到的相匹配的含义是：

intranet (names or IP addresses)

即禁止私有 IP 范围（如 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16）的证书，以及公共 DNS 上不可见的私有名称。

公共可路由 IP 地址的证书仍然是允许的，只是一般不建议大多数人使用，尤其是那些不拥有静态 IP 的人。

此声明是建议，而不是声称您无法保护（公共）IP 地址。

您应该重新配置服务器以使用完全限定域名 (FQDN)，例如 www.coolexample.com，而不是保护 IP 地址和 Intranet 名称

也许 GoDaddy 的某个人误解了措辞，但更有可能的是，他们希望让建议保持简单，并建议在证书中使用公共 DNS 名称。

大多数人不为他们的服务使用稳定的静态 IP。提供 DNS 服务是真正需要拥有稳定的知名 IP 而不仅仅是名称的一种情况。 对于其他任何人，将您当前的 IP 放入 SSL 证书会限制您未来的选择，因为您不能让其他人开始使用该 IP。他们可以冒充您的网站。

Cloudflare.com自己控制着 1.1.1.1 IP 地址，并且在可预见的未来不打算用它做任何不同的事情，因此他们将他们的 IP 放在他们的证书中是有意义的。特别是作为 DNS 提供商，HTTPS 客户端更有可能按编号访问其 URL，而不是任何其他站点。

Answer 3

看起来证书主题替代名称包含 IP 地址：

Not Critical
DNS Name: *.cloudflare-dns.com
IP Address: 1.1.1.1
IP Address: 1.0.0.1
DNS Name: cloudflare-dns.com
IP Address: 2606:4700:4700::1111
IP Address: 2606:4700:4700::1001

传统上，我猜您只会将 DNS 名称放在此处，但 Cloudflare 也将其 IP 地址放在了此处。

https://1.0.0.1/也被浏览器认为是安全的。