Newsgroup: it.comp.os.linux.sys
Titolo: domande su ssl/tls

Ma se ho un webserver apache come faccio a dirgli di usare un certificato
diverso per ogni virtualhost? Non mi prende più di un certificato alla
volta.
Facendo un po' di prove con nessun mi viene fuori questo: sslv2 server
offers 5 strong ciphers, but also 0 medium strength and 2 weak "export
class" ciphers.... disable those ciphers and upgrade your client software
if necessary. Questo mi viene fuori sia per imapssl che per apache-ssl.
dove disabilito questi codici?

 volta.
Non puoi, a meno che i virtualhost non abbiano ip diversi
Il protocollo SSL viene instaurato prima che il browser
invii al webserver la richiesta dell apagina da richiedere (e con questa 
il virtual host da usare)
ciao

 il virtual host da usare)
che palle. Il mozilla si incazza quando vede che l'url del certificato e
del server non coincidono....
Posso fare qualcosa?

 Posso fare qualcosa?
Nel certificato dovrebbe essere possibile specificare piu' di un subject
alternative name.
Personalmente non ci ho mai provato ma ti riporto il brano della guida di
OpenCa(
http://www.openca.org
) dove l'ho letto:
The different names of HTTPS servers are one of the most problematic things
in the todays world. Like for many other cryptographic issues in the web
there is a standard for servercertificates - RFC 2818 "HTTP over TLS".
The standard defines that you have to check the subject alternative name for
an appropriate entry (DNS or IP see RFC 2459). If this search fails then
check the common name in the distinguished name of the certificate.
If you use Microsofts Internet Explorer then you have no problems. The IE is
full standard compliant. The problem is Netscape. They use the common name
like a regular expression in Unix. The common name can be in the format
"(server1|server2).
my_domain.org
". The clever ones would argue now that we
must simply set the subject alternative name like defined by RFC 2818 and
set a normal common name because the subject alternative is checked first.
This is a nice idea but Netscape ignores the subject alternative name if it
checks the name of the server versus the content of the certificate.
The solution is a mix between RFC 2818 and Netscape behaviour. You must set
the common name in the distinguished name like Netscape defines it. After
this you must set all DNS-names and the IPs of the server in the subject
alternative name. If you do this then all standard compliant browsers will
evaluate the subject alternative name first and will ignore the common name
in the distinguished name. So the certificate is standard compliant but
supports the cruel behaviour of Netscape too.
Before you think this is a perfect solution then please think about aliases.
My personal record are 20 different names for one computer which I have to
code in a common name. If you think that it is easy then please remember
that a common name can only be 64 characters long.
Alessandro.

 Posso fare qualcosa?
Se puoi farlo, metti un altro IP sulla scheda di rete del server, e fai 
corrispondere sul DNS il tuo secondo VirtualHost a quell'IP. Indi generi 
i due certificati (uno per ogni VirtualHost)
Dopodichè sul apache imposti i due VirtualHost come IP-based e fai usare 
ad ognuno il suo certificato.
-- 
Ciao
Morsac