브라우저에서 https://1.1.1.1이 안전하다고 생각하는 이유는 무엇입니까?

https://1.1.1.1을 방문하면 사용하는 모든 웹 브라우저가 URL이 안전한 것으로 간주합니다.

이것은 Chrome이 보여주는 것입니다.

일반적으로 IP 주소를 통해 HTTPS 사이트를 방문하려고하면 다음과 같은 보안 경고가 표시됩니다.

내 이해에 따르면 사이트 인증서는 도메인과 일치해야하지만 Chrome 인증서 뷰어에는 다음이 표시되지 않습니다 1.1.1.1.

GoDaddy의 기술 자료 기사 "인트라넷 이름 또는 IP 주소에 대한 인증서를 요청할 수 있습니까?" 말한다 :

아니요-더 이상 인트라넷 이름 또는 IP 주소에 대한 인증서 요청을 수락하지 않습니다. 이것은 GoDaddy에만 해당되는 것이 아닌 업계 표준 입니다.

^{_{( 중점 광산)}}

그리고 또한:

결과적으로 2016 년 10 월 1 일부터 CA (인증 기관) 는 인트라넷 이름 또는 IP 주소 를 사용하는 SSL 인증서를 해지해야 합니다 .

^{_{( 중점 광산)}}

과:

IP 주소 및 인트라넷 이름 을 보호하는 대신 www.coolexample.com 과 같은 FQDN (정규화 된 도메인 이름)을 사용하도록 서버를 재구성해야합니다 .

^{_{( 중점 광산)}}

강제 철회 날짜는 2016 년 10 월 1 일 이후이지만 1.1.1.12018 년 3 월 29 일에 인증서 가 발급되었습니다 (위 스크린 샷 참조).

모든 주요 브라우저에서 https://1.1.1.1 이 신뢰할 수있는 HTTPS 웹 사이트 라고 생각할 수있는 방법은 무엇입니까?

영어는 모호합니다 . 다음과 같이 파싱했습니다.

(intranet names) or (IP addresses)

즉, 숫자 IP 주소의 사용을 완전히 금지하십시오. 보고있는 것과 일치하는 의미는 다음과 같습니다.

intranet (names or IP addresses)

즉 , 10.0.0.0/8, 172.16.0.0/12 및 192.168.0.0/16과 같은 개인 IP 범위에 대한 인증서 와 공용 DNS에 표시되지 않는 개인 이름에 대한 인증서를 금지 합니다.

공개적으로 라우팅 가능한 IP 주소에 대한 인증서는 여전히 허용되지만 대부분의 사람들, 특히 고정 IP를 소유하지 않은 사람들에게는 일반적으로 권장되지 않습니다.

이 진술은 (공용) IP 주소를 보호 할 수 없다는 주장이 아니라 조언 입니다.

IP 주소 및 인트라넷 이름을 보호하는 대신 www.coolexample.com과 같은 FQDN (정규화 된 도메인 이름)을 사용하도록 서버를 재구성해야합니다.

어쩌면 GoDaddy의 누군가가 문구를 잘못 해석했을 수도 있지만 조언을 간단하게 유지하고 인증서에 공개 DNS 이름을 사용하는 것이 좋습니다.

대부분의 사람들은 서비스에 안정적인 고정 IP를 사용하지 않습니다. DNS 서비스를 제공하는 것은 이름 대신 안정적인 잘 알려진 IP를 가져야하는 경우입니다. 다른 사람에게는 현재 IP를 SSL 인증서에 넣으면 다른 사람이 해당 IP 사용을 시작할 수 없으므로 향후 옵션이 제한됩니다. 그들은 귀하의 사이트를 가장 할 수 있습니다.

Cloudflare.com는 제어가 1.1.1.1 IP 스스로 해결을하고, 예측 가능한 미래에 서로 다른 작업을 수행 할 계획되지 않은, 그래서 의미가 그들을 위해 자신의 인증서에 자신의 IP를 넣어. 특히 DNS 공급자 인 경우 HTTPS 클라이언트가 다른 사이트보다 숫자로 URL을 방문 할 가능성이 높습니다.

GoDaddy 설명서가 잘못되었습니다. 인증 기관 (CA)이 모든 IP 주소에 대한 인증서를 취소해야한다는 것은 사실이 아니며 예약 된 IP 주소 일뿐 입니다.

^{_{출처 : https://cabforum.org/internal-names/}}

https://1.1.1.1 의 CA 는 DigiCert였으며 ,이 답변을 쓰는 ​​시점에서 퍼블릭 IP 주소에 대한 사이트 인증서를 구매할 수 있습니다.

DigiCert에는 2015 년 이후에 내부 서버 이름 SSL 인증서 발급 이라는 기사가 있습니다 .

내부 이름을 사용하는 서버 관리자 인 경우 공개 이름을 사용하도록 해당 서버를 재구성하거나 2015 마감 날짜 전에 내부 CA에서 발급 한 인증서로 전환해야합니다. 공개적으로 신뢰할 수있는 인증서를 요구하는 모든 내부 연결은 공개적이고 검증 가능한 이름을 통해 수행해야합니다 (공개적으로 액세스 가능한 서비스인지는 중요하지 않음).

^{_{( 중점 광산)}}

Cloudflare는 단순히 1.1.1.1신뢰할 수있는 CA로부터 IP 주소에 대한 인증서를 얻었습니다 .

https://1.1.1.1 의 인증서를 구문 분석하면 인증서가 SAN (Subject Alternative Names)을 사용하여 일부 IP 주소와 일반 도메인 이름을 포함 함을 알 수 있습니다.

deltik@node51 [~]$ openssl s_client -showcerts -connect 1.1.1.1:443 < /dev/null 2>&1 | openssl x509 -noout -text | grep -A1 'Subject Alternative Name:'
            X509v3 Subject Alternative Name: 
                DNS:*.cloudflare-dns.com, IP Address:1.1.1.1, IP Address:1.0.0.1, DNS:cloudflare-dns.com, IP Address:2606:4700:4700:0:0:0:0:1111, IP Address:2606:4700:4700:0:0:0:0:1001

이 정보는 "세부 사항"탭 아래의 Chrome 인증서 뷰어에도 있습니다.

이 인증서는 나열된 모든 도메인 (와일드 카드 포함 *) 및 IP 주소에 유효 합니다.

인증서 주체 대체 이름에 IP 주소가 포함 된 것 같습니다.

Not Critical
DNS Name: *.cloudflare-dns.com
IP Address: 1.1.1.1
IP Address: 1.0.0.1
DNS Name: cloudflare-dns.com
IP Address: 2606:4700:4700::1111
IP Address: 2606:4700:4700::1001

일반적으로 여기에는 DNS 이름 만 입력했을 것 같지만 Cloudflare는 IP 주소도 입력했습니다.

https://1.0.0.1/ 도 브라우저에서 안전한 것으로 간주됩니다.