Bots durchsuchen Zertifikate?

[tomcat8]

Hallo,

zur Erläuterung: Für diverse GIS-Clients sind die Subdomänen a,b und c hilfreich;
eine URL sieht dann z.B. so aus:
https://{s}.tile.openstreetmap.org/...
Das {s} ist ein Platzhalter für die per Zufall ausgewählten Subdomains a,b,c.
Es gibt also nirgendwo im Internet einen Hinweis darauf, dass diese Subdomains überhaupt existieren.

Damit das Ganze per https funktioniert, brauchts noch ein Zertifikat für a.mydomain, b.mydomain ...
Nun wär es schlau gewesen, von Anfang an ein Wildcard-Zertifikat zu haben;
hatte ich aber verträumt, also einfach das vorhandene Zertifikat mit certbot um die Subdomains erweitert.

Nach wenigen Tagen fand ich in meinen Logs reichlich Zugriffe auf a.mydomain, b.mydomain,...
Mit dutzenden von IP-Adressen z.B. aus Google-Cloud und als Browser-Client getarnt, kein Zugriff auf robots.txt; also die üblichen bad Bots.
Das ist auch völlig sinnlos, weil sich hinter a.mydomain kein anderer Content als unter mydomain verbirgt.
Für mich gibts dafür nur eine Erklärung:
Da durchwühlt jemand Zertifikate nach URLs (oder letsencrypt verkauft seine Datenbestände!?)
Ein nennenswerter Schaden entsteht mir dadurch nicht; es ist nur nervig, wenn meine Matomo-Daten vermüllt werden.

Hat das noch jemand beobachtet, dass auf in Zertifikaten "versteckte" URLs zugegriffen wird?
Gibts dafür eine andere Erklärung?
Lohnt sich eine Abuse-Meldung?


Grüße!

 

[GwenDragon]

Ist doch einfach: entferne die alten Zertifikate der Subdomains, erstelle ein neues Let's Encrypt-Wildcard-Zertifikat und weise es den Subdomains zu.

Bots durchsuchen Zertifikate?​

Du kannst ja mal auf https://crt.sh nachsehen, welche von deiner Domain existieren.

 

[GwenDragon]

Wenn du meinst, du keine Besuche aus AWS, Google-Cloud u.ä. willst. sperr doch die IP-Ranges dieser Server oder löse die IP auf un schau ob der FQDN zu den zu blockierenden Servern gehört.
Alles eine Frage was das Backend kann.

 

[GwenDragon]

Was das zumüllen der Statistik anbelangt, lässt sich sowas vorher aus Logs rausfiltern.

 

[GwenDragon]

Lohnt sich eine Abuse-Meldung?

Nein.

 

[Whistler]

Damit das Ganze per https funktioniert, brauchts noch ein Zertifikat für a.mydomain, b.mydomain ...
Nun wär es schlau gewesen, von Anfang an ein Wildcard-Zertifikat zu haben;
hatte ich aber verträumt, also einfach das vorhandene Zertifikat mit certbot um die Subdomains erweitert.

Mach' doch jetzt noch ein Wildcard-Zertifikat.
Ich benutze zwar Dehydrated und nicht Certbot, aber der Vorgang (Challenge DNS-01) wird so ähnlich sein.
Ansonsten stehen Deine Subdomains immer (mindestens) unter https://crt.sh/ und https://transparencyreport.google.com/https/certificates