Question

据我所知，此信息存储在Subject和X509v3 Subject Alternative Name字段中。但还有更多（openssl x509 -text -in example.com.crt）：

Subject: description=MnUfE9G..., C=UA, CN=sub.example.com/emailAddress=webmaster@example.com
X509v3 Subject Alternative Name:
    DNS:sub.example.com, DNS:example.com

这些description，C，CN，DNS内容是什么？哪些标准管理字段的格式？

Answer 1

CN代表Common Name，它是颁发证书的主机的DNS名称。

您提供的信息适用于主题：

C=Country
ST=State
L=Locality
O=Organization
OU=Organizational Unit
CN=Common Name

PKI standards管辖SSL X.509 certificates。

Answer 2

我如何知道为哪个域颁发了ssl证书？

这在RFC 2818 (Section 3.1)（针对HTTPS）和RFC 6125（更一般地）中指定。

简而言之：

如果有任何主题备用名称条目，则证书对其中任何一个都有效。（＆＃34; 如果存在类型为dNSName的subjectAltName扩展名，则必须将其用作标识。＆＃34;）
如果没有SAN DNS条目，＆＃34; 必须使用证书的“主题”字段中的（最具体的）“公共名称”字段。＆＃34; （根据RFC 2818）。

＆＃34;通用名称＆＃34;是主题专有名称中的CN（＆＃34; description=MnUfE9G..., C=UA, CN=sub.example.com/emailAddress=webmaster@example.com＆＃34;在您的示例中）。

（请注意，定义＆＃34;最具体的＆＃34; CN（如果有多个）是有点模糊的，这是RFC 6125正在解决的问题之一。）< / p>

编辑：

这些描述是什么，C，CN，DNS的东西？哪些标准管理字段的格式？

关于内容，正如@AlexW所说，这部分来自X.509标准，如果你对它们的格式感兴趣，它也依赖于X.500 / X.501。

他们的意思是略有不同的问题。其中一些与PKIX Specification (RFC 5280, or 3280)中的名称和策略约束有关，但主要与CA设置的管理策略相关联。在某种程度上，这些比纯粹的技术文件更具行政和法律效力。

Symantec Trust Network Certificate Policies (Verisign)有自己的描述。第3节（＆＃34; 标识和认证＆＃34;）应该是有意义的。每个CA都有自己的CA，但有些方面在实践中趋于协调。

实际含义取决于浏览器实际对这些字段的影响。除CN（和SAN）外，并不总是有明确的技术解释。例如，有一个long running Firefox issue about what to do with the O= (organisation) RDN。

上面的另一层是来自CA/Browser forum的规范，特别是EV Certificate guidelines。在这种情况下，O= RDN具有明确定义的含义（使用EV证书时绿色栏中显示的内容）。

我如何知道为哪个域颁发ssl证书？

2 个答案: