X.509 DNのすべての部分はオプションですか？

X.509のDNのすべての部分はオプションですか？ RFC3280から
：この仕様のX.509 DNのすべての部分はオプションですか？

実装は、発行者とサブジェクトで次の標準属性タイプを受け取るために準備しなければなりません（セクション4.1.2.6）名：
* country, 
    * organization, 
    * organizational-unit, 
    * distinguished name qualifier, 
    * state or province name, 
    * common name (e.g., "Susan Housley"), and 
    * serial number. 

私ができますいずれかが必須かどうかを見つけることはできません。
信頼できるCAによって署名された証明書が表示されていますが、発行者のフィールドにはCNがありません（そして、Cが重要とは思われません）。
私は、CNが必須であると予想していました。それは...ですか？
発行者のフィールドからCNを省略した場合のセキュリティ上の意味はありますか？

出典

2012-04-23 Cratylus

@Brunoによると、発行者DNがCNを持つためのRFC3280の要件はありません。 RFC3280の状態：

発行者フィールドには、空でない識別名（DN）が含まれていなければなりません。

ただし、RFC3280では、どのRDNが存在する必要があるかについての要件はありません。ほとんどのCAは発行者DNにCNを含めますが、このEquifax CAなどのCNは含めません。

OU =エクイファックスセキュア認証機関、O =エクイファックス、C = US

またはこのベリサインCA.

OU =ベリサイン・トラスト・ネットワーク、OU = "（C）1998ベリサイン株式会社 - 許可された使用の場合のみ"、OU =クラス3パブリック・プライマリー認証局 - G2、O =「ベリサイン株式会社"、C = US

RFC3280を使用したパス構築と検証では、発行者DNにCNは必要ありません。

出典

2012-04-23 11:53:59 PhilR

私はこれが奇妙だと思います。私は非常に厳密な処理のために、発行者のCNに基づいて制限を課すこともできると期待しています。 – Cratylus

特定のPKIの発行者DNに制限を課す証明書ポリシーを作成する、コミュニティ。しかし、インターネット上での一般的な証明書の使用では、RFC3280を参照しています。これは、CNが発行者DNに存在する必要はありません。 – PhilR

RFCには、件名の名前が件名の代替名の拡張子に存在する可能性があることが記載されています。

さらに、場合のみ対象のアイデンティティが証明書に含まれる代替名形式（例えば、電子メールアドレス）、 です：セクション4.2.1.7は、以下の（でなければならないあなたの場合は）言います件名の識別名は空である必要があります。（空のシーケンス）、のsubjectAltName拡張子が存在する必要があります。サブジェクトフィールドに空のシーケンスが含まれている場合、subjectAltName拡張子はである必要があります。

出典

2012-04-23 07:16:25

から

証明書に何のサブジェクト代替名の拡張はありませんし、critical.TheのみDN存在としてマークされた拡張子は '（3異なる' OUをOU'を持って 'Issuer'フィールドに存在しているではありません'' Owner'：このウェブサイトは所有権情報を提供していないと警告します。したがって、この警告は実際にここに「CN」に問題があることを意味しますか？セキュリティの意味は何ですか？ – Cratylus

@ user384706証明書は所有権と信頼性を証明しないため、Webサーバーの適切な認証には使用できません。セキュリティの意味は、そのような証明書が盗まれた場合、それがどのWebサイトにもインストールできることです。したがって、そのような証明書は信頼されてはいけません。 Webサイトでは、証明書にWebホスト名またはIPアドレスを含める必要があります。これは3.1のRFC 2818（http://www.ietf.org/rfc/rfc2818.txt）で定義されています。 –

私はここであなたを失っているかもしれません。証明書には、証明書の「件名」フィールドにWebサイトのドメイン名が含まれています。 'Subject'フィールドには' CN'があり、これはサイトのドメイン名です（URLバーに表示されているものと同じです）。それは 'CN'を持たない' Issuer'フィールドです（そして私はそれがfirefoxにおける警告の意味であると仮定します）。これで最後のコメントが変わりますか？または私はあなたの答えをmissundestandingですか？ – Cratylus

X509証明書は、dn全体を比較する必要があります。それは

Dn1 == Dn2

二つの識別名DN1とDN2の試合、彼らはRDNの数が同じ場合、DN1の各RDNのためDN2で一致 RDNがある、とのマッチングのRDNが同じに表示されています DNの両方で注文してください。

各成分は任意であり、それらは繰り返すことができる。しかし、一致するすべてのフィールドが一致する必要があります。 ietf rfc5280

出典

2016-03-11 16:23:24 mksteve

X.509 DNのすべての部分はオプションですか？

答えて

関連する問題