“通用名称”中允许使用哪些字符串？ X.509 证书中的属性？

发布于 2024-10-19 06:00:01 字数 189 浏览 5 评论 0 原文

在 X509 证书 DN 的通用名称字段中（如 OID“2.5.4.3”的 ASN.1 表示法中所定义），允许的值是什么？

我知道限制最多为 64 个字符，但是否允许所有字符？数字？
例如，允许使用 . 吗？ IP 地址 (xxxx) 是否符合 ASN 定义的有效序列？
允许使用域名吗？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

这样的小城市 2024-10-26 06:00:01

可分辨名称中的通用名称属性编码为：

X520CommonName ::= CHOICE {
      teletexString     TeletexString   (SIZE (1..ub-common-name)),
      printableString   PrintableString (SIZE (1..ub-common-name)),
      universalString   UniversalString (SIZE (1..ub-common-name)),
      utf8String        UTF8String      (SIZE (1..ub-common-name)),
      bmpString         BMPString       (SIZE (1..ub-common-name)) }

其中 ub-common-name 为 64。最后三种编码允许使用所有 Unicode 代码点（对于超过 0xFFFF 的代码点使用 UTF-16 和 bmpString）； UTF-8 是首选编码（至少标准是这么说的）。

就 X.509 而言（参见 RFC 5280），DN 元素的内容除了平等比较之外无关紧要；这意味着您可以输入任何您想要的字符序列，只要您始终如一地这样做即可。 RFC 5280 要求对 UTF-8 编码的名称元素进行不区分大小写的比较，这在 Unicode 的一般上下文中并不容易：请参阅第 7.1 节，该节链接到 RFC 4518 和 3454 。此外，“通用名称”经常向用户显示（至少在使用具有显示器和物理用户的 X.509 证书的系统上），因此您可能希望使用有意义或至少不太可怕的字符串对于人类来说，您可能会尝试避免使用非拉丁字母。

将 DNS 名称放入“通用名称”属性中是 HTTPS 服务器证书的常见做法：请参阅 RFC 2818< /a> （服务器证书包含服务器名称，客户端将其与 URL 中的服务器名称进行匹配；通常，首选主题替代名称扩展，但客户端更广泛地支持通用名称）。

The common name attribute in a Distinguished Name is encoded as:

X520CommonName ::= CHOICE {
      teletexString     TeletexString   (SIZE (1..ub-common-name)),
      printableString   PrintableString (SIZE (1..ub-common-name)),
      universalString   UniversalString (SIZE (1..ub-common-name)),
      utf8String        UTF8String      (SIZE (1..ub-common-name)),
      bmpString         BMPString       (SIZE (1..ub-common-name)) }

where ub-common-name is 64. The last three encodings allow the use of all Unicode code points (using UTF-16 for code points beyond 0xFFFF with bmpString); UTF-8 is the preferred encoding (at least the standards say so).

As far as X.509 is concerned (see RFC 5280), the contents of DN elements are irrelevant beyond equality comparisons; which means that you can put whatever sequence of characters you wish, as long as you do so consistently. RFC 5280 mandates case-insensitive comparisons for UTF-8 encoded name elements, and this is not easy in the general context of Unicode: see section 7.1, which links to RFC 4518 and 3454. Also, the "common name" is frequently displayed to the user (at least on systems using X.509 certificates which have a display and a physical user), so you probably want to use a string which is meaningful or at least not too scary for a human, and you may try to avoid non-latin scripts.

Putting a DNS name in the "common name" attribute is common practice for HTTPS server certificates: see RFC 2818 (the server certificates contains the server name, which the client matches against the server name in the URL; normally, the Subject Alt Name extension is preferred for that, but the common name is somewhat more widely supported by clients).

回复收藏 0 原文

来世叙缘 2024-10-26 06:00:01

虽然上面的答案涵盖了您通常会在其中找到的内容，但不要忘记，因为这是 X.509，所以您实际上可以在其中放置几乎任何内容。例如，下面的证书使用 0.9.2342.19200300.100.1.5，这是“最喜欢的饮料”（请参阅 https://www.alvestrand.no/objectid/0.9.2342.19200300.100.1.5.html）。 OpenSSL 理解这一点，因此通用名称显示为 CN=example.com/[电子邮件受保护]/favouriteDrink=龙舌兰酒。还有许多其他字段可以放入证书通用名称中。

您可以使用 openssl x509 -text 来验证证书是否按照我的描述显示。

Whilst the above answers cover what you'll usually find in there, don't forget that because this is X.509 you can actually put pretty much anything in there. The certificate below for example uses 0.9.2342.19200300.100.1.5 which is 'favourite drink' (See https://www.alvestrand.no/objectid/0.9.2342.19200300.100.1.5.html). OpenSSL understand this, so the common name is displayed as CN=example.com/[email protected]/favouriteDrink=tequila. There are many other fields that can be put in the certificate common name.

You can use openssl x509 -text to verify that the certificate displays as I've described.