この記事は過去のUPKIイニシアティブに掲載されていたものです
[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[upki-odcert:47] Re: AndroidはsubjectAltNameを見ない？

椙山女学園の荻野です。

Takeshi NISHIMURA said the following on 10/04/23 13:25:
> 残念ながら、CNに記載されているFQDN(本名)でアクセスして
> もらう以外に、同じ証明書を用いてこの問題に対処する方法
> はないように思えます。

手元に Android 機器がないので検証できないのですが、検索してみると CN を
複数持つ証明書を使えば良い、という書き込みをみました。

openssl.cnf の [ req_distinguished_name ] の commonName を以下のように修
正すると、確かに二つの CN をもつ CSR が出来たようです。

0.commonName                   = Common Name (eg, YOUR name)
0.commonName_max               = 64
1.commonName                   = Common Name (eg, YOUR name)
1.commonName_max               = 64


疑問点：

・複数 CN をもつ証明書があれば、Android も複数ドメイン名でエラーがおこら
なくなるのでしょうか。
・またその他の機器は CN が複数あっても subjectAltName がある証明書の場
合、そちらをみるから特に問題にならないのでしょうか。
・複数 CN の CSR は本プロジェクトで受け付けてもらうことは可能でしょうか。


セントラル警備保障のページには以下のような記述がありました。
subjectAltName を見ないものは他にもあるのかも知れません。

http://cspssl.jp/multi.html
> Multi-Domain Certificates(MDC)は、 SSLサービスをバーチャルドメインで
> もご利用できるサービスです。 HTTP over TLS(RFC2818) にて規定されてい
> るsubjectAltNameを利用し、複数のドメイン名をご利用になれます。 また、
> RFCに準拠せず、subjectAltNameが利用できない端末向けに CN(コモンネー
> ム)も複数登録しています。
もっともこのページからリンクされているサンプルとしての
  https://cspssl.net/
は複数 CN に見えませんが…


サンプル CSR：

> $ openssl req -noout -subject -in test.csr
> subject=/C=JP/L=Academe2/O=Sugiyama Jogakuen University/OU=Information Technology Center/CN=www1.sugiyama-u.ac.jp/CN=www2.sugiyama-u.ac.jp

-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----


-- 
荻野 充 (おぎの みつる) ... 「萩(はぎ)」にあらず
Key fingerprint = 7F26 5414 1805 F31B 1617  10B7 C117 07AE 1691 9BD1