[upki-odcert:48] Re: AndroidはsubjectAltNameを見ない？

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

西村です。

(2010/04/25 10:21), Mitsuru Ogino wrote:
> openssl.cnf の [ req_distinguished_name ] の commonName を以下のように修
> 正すると、確かに二つの CN をもつ CSR が出来たようです。
> 
> 0.commonName                   = Common Name (eg, YOUR name)
> 0.commonName_max               = 64
> 1.commonName                   = Common Name (eg, YOUR name)
> 1.commonName_max               = 64

もしくはopensslのオプションで
openssl req -new ... -subj '/C=JP/L=Academe2/.../CN=www1.sugiyama-u.ac.jp/CN=www2.sugiyama-u.ac.jp'
のようにすると直接指定できますね。

> 疑問点：
> 
> ・複数 CN をもつ証明書があれば、Android も複数ドメイン名でエラーがおこら
> なくなるのでしょうか。

前メールで示したリンク先にも同様の記述がありまして、大丈夫と思われ
ます。

> ・またその他の機器は CN が複数あっても subjectAltName がある証明書の場
> 合、そちらをみるから特に問題にならないのでしょうか。

subjectAltNameを見るような実装の場合はCNには影響を受けないと思われ
ますのでCNと同様の記述をsubjectAltNameについても記述しておけば大丈
夫でしょう。
「subjectAltNameも見ないしCNも最後のものしか見ない」という実装も可
能性としては有りそうですが、そのあたりの情報は持ち合わせておりませ
ん。

> ・複数 CN の CSR は本プロジェクトで受け付けてもらうことは可能でしょうか。

残念ながら支援システムで受理されないようです。

-- 
西村健
国立情報学研究所 TEL:03-4212-2720