[1] [DFN[[[subjectAltName]]]] ([DFN[[[SAN]]]]) は、[[証明書]]において[[ドメイン名]]や [[IPアドレス]]などを記述する欄です。 [12] [[TLS]] + [[PKIX]] による [[service identity]] の検証では、 [[サーバー証明書]]中の本欄に記された[[ドメイン名]]がアクセスしている[[サーバー]]の[[ドメイン名]]と[[一致]]しているかが検証されます。 * 仕様書 [REFS[ - [3] [CITE@en[RFC 5280 - Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile]] ([TIME[2015-02-22 15:44:10 +09:00]] 版) -- [2] '''[CITE@en[RFC 2459 - Internet X.509 Public Key Infrastructure Certificate and CRL Profile]] ([TIME[2014-12-22 14:13:43 +09:00]] 版) ''' - [13] [CITE[[[BR]]]] ([TIME[2014-11-01 05:54:38 +09:00]] 版) ]REFS] * 構文 [6] 値は、 [CODE[[[GeneralNames]]]] です [SRC[>>2]]。 [FIG(railroad)[ = [CODE[[[GeneralNames]]]] ]FIG] [23] [[HTTPS]] 用の[[証明書]]では [CODE[dNSName]] が1個[[以上]]含められるのが普通です。 [24] 稀に [CODE[iPAddress]] で [[IPv4アドレス]]や[[IPv6アドレス]]が含められる場合があります。 [25] それ以外はほとんど見かけません。 [26] なお [CODE[dNSName]] の構文は [CODE[IA5String]] で[[非ASCII文字]]は使えませんが、 [[IDN]] は [[Aラベル]]を使うので支障ありません。 -*-*- [29] [CODE[dNSName]] として記述される[[ドメイン名]]の組合せに制約はありません。 同じ[[ドメイン]]の[[サブドメイン]]でも構いませんし、 異なる [[TLD]] の[[ドメイン]]が混じっていても構いません。 [[ワイルドカードドメイン]]も使えます。 * 適合性 [4] [[CA]] は [[SAN]] に対応しなければ[['''なりません''']] [SRC[>>3, >>13]]。 [14] [[BR]] に従う [[CA]] が[[発行]]する[[証明書]]の [[SAN]] は、 最低1つの[[エントリー]]を含まなければ[['''なりません''']]。各[[エントリー]]は [CODE[[[dNSName]]]] または [CODE[[[iPAddress]]]] でなければ[['''なりません''']]。 [SRC[>>13]] [5] [[応用]]は [[SAN]] を認識しなければ[['''なりません''']] [SRC[>>3]]。 * [CODE[Subject]] 欄における [CODE[subjectAltName]] の指定 [19] [[CSR]] において ([[SAN]] [[拡張]]ではなく) [CODE[[[subject]]]] 欄において [DFN[[CODE[subjectAltName]]]] という欄に [CODE[DNS.1=domain1.example, DNS.2=domain2.example]] のような値を指定する例 [SRC[>>17, >>18]] が示されていることがあります。 [20] [[CSR]] を受け取って[[証明書]]を発行する [[CA]] はこの指定を使ってくれる [SRC[>>18]] と説明されています。 [21] [[証明書]]の [CODE[[[subject]]]] 欄にこのような指定を含めても、 [[Firefox]] も [[Chrome]] も [[IE]] も認識しないようです。 [[OpenSSL]] によって [[CSR]] から[[証明書]]を発行しても、 [[CSR]] の [CODE[[[subject]]]] がそのまま[[証明書]]に使われるだけで、 [[証明書拡張]]に変換されるわけではないようです。 [TIME[2015-08-13T12:00:59.600Z]] [REFS[ - [17] [CITE[OpenSSL CSR with Alternative Names one-line | End Point Blog]] ([TIME[2015-08-13 05:37:39 +09:00]] 版) - [18] [CITE[SSL Certificate SANs and Multi-level Wildcards | End Point Blog]] ([TIME[2015-08-13 05:37:39 +09:00]] 版) ]REFS] * 文脈 [28] [SEE[ [[DNS-ID]], [[SRV-ID]], [[URI-ID]] ]] * 関連 [27] [SEE[ [[CN-ID]] ]] * メモ [FIG(quote)[ [FIGCAPTION[ [7] [CITE@en[RFC 6125 - Representation and Verification of Domain-Based Application Service Identity within Internet Public Key Infrastructure Using X.509 (PKIX) Certificates in the Context of Transport Layer Security (TLS)]] ([TIME[2015-03-13 22:27:53 +09:00]] 版) ]FIGCAPTION] > subjectAltName entry: An identifier placed in a subjectAltName > extension. > subjectAltName extension: A standard PKIX certificate extension > '''['''PKIX''']''' enabling identifiers of various types to be bound to the > certificate subject -- in addition to, or in place of, identifiers > that may be embedded within or provided as a certificate's subject > field. ]FIG] [FIG(quote)[ [FIGCAPTION[ [8] [CITE[ネームベースの VirtualHost で SSL/TLS (5) - TenForwardの日記]] ([TIME[2015-03-20 18:29:13 +09:00]] 版) ]FIGCAPTION] > IPアドレスでアクセスするので,以下のように subjectAltName も "IP" を指定してやってみました.これだと Firefox2 だと問題なく全てのアドレスでアクセス出来ましたが,IE6 と Opera9 だと,証明書内の名前とアクセスしようとしているサーバ名が違う,というような警告が出ます. ]FIG] [FIG(quote)[ [FIGCAPTION[ [9] [CITE@ja[自堕落な技術者の日記 : 小ネタ:FireFoxとIEでのIPアドレスのSubjectAltName dNSNameの扱いの違い - livedoor Blog(ブログ)]] ([TIME[2015-03-25 01:10:46 +09:00]] 版) ]FIGCAPTION] > 某IPアドレスで書かれたサイトにHTTPSでアクセスしてみると うむむ、FireFox 3.6.23だと 信頼できない接続のアラートが、、、 > IE8だと問題ありません。 > んなアホな。 うむむと思ってSSLサーバー証明書を見てみると > SubjectAltNameのGeneralName値が > dNSName: 192.168.1.5 > みたいにDNS NameのところにIPアドレスが 書いてある証明書のせいみたいなんです。 ]FIG] [10] [CITE@en[369112 – With HTTPS, the Subject Common Name gets ignored if subjectAltName extension is present.]] ([TIME[2015-03-25 01:12:44 +09:00]] 版) [11] [CITE@en[553749 – mozilla.org sites should use an SSL certificate with a subjectAltName]] ([TIME[2015-04-02 12:19:01 +09:00]] 版) [15] [CITE[gitやcurlやwgetでGitHubにアクセスするとcertification errorになる原因を調べてみた - Dマイナー志向]] ([TIME[2015-03-29 12:43:51 +09:00]] 版) [16] [CITE[certificates - Provide subjectAltName to openssl directly on command line - Information Security Stack Exchange]] ([TIME[2015-08-13 17:33:20 +09:00]] 版) [22] [CITE@ja[自堕落な技術者の日記 : 最近の証明書の話題(2): CloudFlare DNS 1.1.1.1サイトのIPv6証明書 - livedoor Blog(ブログ)]] ([TIME[2018-05-20 23:18:54 +09:00]])