我可以获得IP地址的SSL证书吗？

Question

我想拥有一个没有域名的嵌入式设备的证书。我可以获得为IP地址颁发的真实证书（不是自签名证书）吗？

我正在考虑Let's Encrypt计划，该计划将自动颁发证书。从嵌入式设备中运行并获得真正的证书非常酷。

Answer 1

_{答案在创建后2。5年编辑，以纠正dave_thompson_085发现的错误（请参阅注释）。它最初声称公共CA根本不发布IP地址证书，但事实并非如此。}

理论上，您可以在证书中拥有IP地址。但是，如果您希望获得由公共CA颁发的证书，则此IP地址需要公开，并且您需要证明IP地址的所有权，即私有或保留的IP地址将不起作用。并非所有具有IP地址的公共CA颁发证书，例如Let's Encrypt都没有。另请注意，IP地址的证书仅适用于包含IP地址的URL - 它对于解析此IP地址的任何域无效，除非这些域也明确是证书的一部分。鉴于拥有一个域比拥有一个拥有公共IP地址证书的公共IP地址更容易，这是非常罕见的。

如果您使用自己的CA，您仍然可以拥有私人或其他保留IP地址的证书。但是你必须注意浏览器在证书中如何获得IP地址的差异：

• 大多数浏览器接受公用名中的IP，但Safari不接受
• 大多数浏览器在主题备用名称部分中接受IP作为类型iPAdress，但MSIE希望将其作为dNSName在那里。