局域网内自签 https 证书难道不需要证明对该域名的所有权？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 373 天前的主题，其中的信息可能已经有所发展或是发生改变。

如题，最近发现朋友公司的内网 oa.com 居然不需要客户端安装证书就能被信任，证书颁发者是 Go Daddy Secure Certificate Authority - G2 。这到底怎么做到的，不理解。难道朋友公司有 oa.com 的所有权吗

证书

所有权

Secure

authority

21 条回复 • 2023-09-13 10:39:17 +08:00

keyfunc

2023-09-12 09:14:38 +08:00

所以到底是自签还是 GoDaddy 的 CA 签的？如果发现 CA 滥发证书的话，可以去 Mozilla 社区举报： https://wiki.mozilla.org/CA/Incident_Dashboard

xomix

2023-09-12 09:17:30 +08:00

我想到一种可能，他就是把这个域名签到特定的局域网 ip 里了（甚至更过分，使用广域网 ip 来做局域网 ip 了）

zhengfan2016

2023-09-12 09:17:49 +08:00

@keyfunc 应该是 Go Daddy 签的，难道狗爹给域名发证书可以不用验证域名所有权吗

leonshaw

2023-09-12 09:18:16 +08:00 via Android

发出来看看

keyfunc

2023-09-12 09:21:45 +08:00

@zhengfan2016 大可能性是用了 oa 的什么 saas 服务，服务上有 oa.com 的控制权

leonshaw

2023-09-12 09:22:26 +08:00 via Android

如果是真的 ct log 应该能查到

pridealloverme

2023-09-12 09:32:46 +08:00

把证书发出来看下就知道是不是自签了。有可能是他们自签的 CA 和 goDaddy 的差不多名称

tpsxiong

2023-09-12 09:43:10 +08:00 via Android

有没可能 it 出厂的电脑直接植入了根证书？

tool2d

2023-09-12 10:10:04 +08:00

是公司办公内网，又不是任意网页证书，有个域名所有权也是很正常的。

illl

2023-09-12 10:13:15 +08:00 via iPhone

oa.com 好像是腾讯内网的域名吧

libook

2023-09-12 10:20:03 +08:00

证书跟域名绑定，域名根据 DNS 解析到 IP ，所以证书跟是不是内网没有关系。

比如我现在就有个域名，用 let‘s encrypt 发了证书，然后无论我 DNS 上将这个域名解析到哪个 IP 都可以，不管是公网还是内网 IP 。浏览器会根据域名找 DNS 确认是哪个 IP ，但是在验证证书阶段就完全不管 IP 的事情了，只关心服务器返回的加密数据是否可以使用本地对应域名的密钥解密。

只要是公共 CA 签发的证书，浏览器和操作系统通常都内置了公钥，不需要额外安装。

公共 CA 给域名签发证书，如果域名在公网就可以直连验证所有权，如果域名在内网就没法直连验证所有权，但是有其他方式可以验证所有权，比如域名持有者可以在 DNS 上添加特殊记录来证明自己拥有这个域名。

renfei

2023-09-12 10:26:26 +08:00

CN = Go Daddy Secure Certificate Authority - G2
OU = http://certs.godaddy.com/repository/
O = GoDaddy.com, Inc.
L = Scottsdale
ST = Arizona
C = US
在 9/8/22, 10:28:44 PM GMT+8 确实签发了 oa.com 的证书，如果证书跟这个一致的话，估计真的拿到了这个证书的 key

https://cdn.renfei.net/tmp/_.oa.com.cer