Tarayıcım neden https://1.1.1.1'in güvenli olduğunu düşünüyor?

Https://1.1.1.1 adresini ziyaret ettiğimde , kullandığım herhangi bir web tarayıcısı URL'yi güvenli buluyor.

Google Chrome’un gösterdiği şey:

Normal olarak, IP adresi üzerinden bir HTTPS sitesini ziyaret etmeye çalıştığımda, şöyle bir güvenlik uyarısı alıyorum:

Anladığım kadarıyla, site sertifikası etki alanıyla eşleşmeli, ancak Google Chrome Sertifika Görüntüleyici 1.1.1.1şunları göstermiyor :

GoDaddy'nin bilgi tabanı makalesi "İntranet adı veya IP adresi için sertifika isteyebilir miyim?" diyor:

Hayır - artık intranet adları veya IP adresleri için sertifika isteklerini kabul etmiyoruz. Bu, GoDaddy'ye özgü olmayan, endüstri çapında bir standarttır .

^{_{( vurgu madeni)}}

Ve ayrıca:

Sonuç olarak, 1 Ekim 2016 tarihinden itibaren geçerli olmak üzere , Sertifika Yetkilileri (CA) , intranet adlarını veya IP adreslerini kullanan SSL sertifikalarını iptal etmelidir .

^{_{( vurgu madeni)}}

Ve:

IP adreslerini ve intranet adlarını güvence altına almak yerine, sunucuları, www.coolexample.com gibi Tam Nitelikli Etki Alanı Adlarını (FQDN) kullanacak şekilde yeniden yapılandırmalısınız .

^{_{( vurgu madeni)}}

01 Ekim 2016 tarihinde zorunlu iptal tarihinden sonra ancak 1.1.1.129 Mart 2018 tarihinde sertifika verilmiştir (yukarıdaki ekran görüntüsünde gösterilmiştir).

Nasıl tüm büyük tarayıcılar düşünüyorum mümkündür https://1.1.1.1 güvenilir bir HTTPS web sitesi nedir?

İngilizce belirsizdir . Bunu böyle ayrıştırıyordun:

(intranet names) or (IP addresses)

yani sayısal IP adreslerinin kullanımının tamamen yasaklanması. Gördüklerinizle eşleşen anlam şudur:

intranet (names or IP addresses)

yani , 10.0.0.0/8, 172.16.0.0/12 ve 192.168.0.0/16 gibi özel IP aralıkları ile kamuya açık DNS'de görünmeyen özel adlar için sertifikaları yasaklayın .

Genel olarak yönlendirilebilir IP adresleri için sertifikalara hala izin verilmektedir, ancak çoğu insan için, özellikle de statik bir IP'ye sahip olmayanlar için genel olarak önerilmez.

Bu açıklama bir öneri (halka açık) IP adresi alamayacağınız iddiası değil .

IP adreslerini ve intranet adlarını güvenceye almak yerine, sunucuları, www.coolexample.com gibi Tam Nitelikli Etki Alanı Adlarını (FQDN'ler) kullanacak şekilde yeniden yapılandırmalısınız.

Belki GoDaddy'deki bir kişi ifadeleri yanlış yorumluyordu, ancak daha büyük olasılıkla tavsiyelerini basit tutmak istediler ve halka açık DNS adlarını sertifikalarda kullanmanızı önerdiler.

Çoğu insan hizmetleri için sabit bir statik IP kullanmaz. DNS hizmetlerini sunmak, sadece bir ad yerine kararlı bir şekilde iyi bilinen bir IP'ye sahip olmanın gerçekten gerekli olduğu durumdur. Bir başkası için, geçerli IP’nizi SSL sertifikanıza koymak gelecekteki seçeneklerinizi kısıtlar çünkü başka birinin bu IP’yi kullanmasına başlayamazsınız. Sitenizi taklit edebilirler.

Cloudflare.com kontrol ediyor 1.1.1.1 IP kendilerini ele alır ve öngörülebilir gelecekte onunla farklı bir şey yapmak için planlamadığını, bu nedenle mantıklı onları için onların sertifika kendi IP koymak. Özellikle bir DNS sağlayıcısı olarak , HTTPS istemcilerinin URL'lerini diğer sitelere göre numaralarıyla ziyaret etmesi daha olasıdır.

GoDaddy belgeleri yanlıştır. Sertifika Yetkilileri'nin (CA) tüm IP adresleri için sertifikaları iptal etmesi gerektiği doğru değil… yalnızca ayrılmış IP adresleri .

^{_{Kaynak: https://cabforum.org/internal-names/}}

İçin CA https://1.1.1.1 oldu DigiCert bu cevabın yazının yazıldığı gibi, genel IP adresleri için satın alma sitesi sertifikalarını izin vermez.

DigiCert'in 2015'ten sonra Dahili Sunucu Adı SSL Sertifikası İhracı adlı bir makale var :

Dahili adları kullanan bir sunucu yöneticisiyseniz, bu sunucuları bir genel ad kullanacak şekilde yeniden yapılandırmanız veya 2015 kesim tarihinden önce bir iç CA tarafından verilen bir sertifikaya geçmeniz gerekir. Genel olarak güvenilen bir sertifika gerektiren tüm dahili bağlantılar, herkese açık ve doğrulanabilir adlarla yapılmalıdır (bu hizmetlerin halka açık olup olmadığı önemli değildir).

^{_{( vurgu madeni)}}

Cloudflare 1.1.1.1, güvenilen CA'dan IP adresleri için bir sertifika aldı .

Sertifikanın https://1.1.1.1 için ayrıştırılması, sertifikanın bazı IP adreslerini ve normal alan adlarını kapsayacak şekilde Konu Alternatif Adlarını (SAN) kullandığını ortaya koymaktadır:

deltik@node51 [~]$ openssl s_client -showcerts -connect 1.1.1.1:443 < /dev/null 2>&1 | openssl x509 -noout -text | grep -A1 'Subject Alternative Name:'
            X509v3 Subject Alternative Name: 
                DNS:*.cloudflare-dns.com, IP Address:1.1.1.1, IP Address:1.0.0.1, DNS:cloudflare-dns.com, IP Address:2606:4700:4700:0:0:0:0:1111, IP Address:2606:4700:4700:0:0:0:0:1001

Bu bilgiler ayrıca "Ayrıntılar" sekmesi altındaki Google Chrome Sertifika Görüntüleyici’de de bulunmaktadır:

Bu sertifika listelenen tüm alanlar (joker karakterler dahil *) ve IP adresleri için geçerlidir.

Sertifika Konusu Alt Adı IP adresini içeriyor gibi görünüyor:

Not Critical
DNS Name: *.cloudflare-dns.com
IP Address: 1.1.1.1
IP Address: 1.0.0.1
DNS Name: cloudflare-dns.com
IP Address: 2606:4700:4700::1111
IP Address: 2606:4700:4700::1001

Geleneksel olarak, buraya yalnızca DNS Adları koyacağınızı sanıyorum, ancak Cloudflare IP Adreslerini de yerleştirdi.

https://1.0.0.1/ , tarayıcılar tarafından da güvenli kabul edilir.