Wie unterscheiden sich Java-Anwendungen und Browser in der SSL-Servernamensauflösung?

SSL-Zertifikat-Servernamensauflösung

In SSL-Zertifikaten werden Servernamen hauptsächlich basierend auf dem Feld „Subject Alternative Name (SAN)“ aufgelöst. In den meisten Fällen verwenden Browser SANs, um die Identität der Website zu überprüfen, zu der sie eine Verbindung herstellen. Java-basierte Anwendungen scheinen sich jedoch anders zu verhalten und verlassen sich ausschließlich auf SANs zur Servernamensvalidierung.

Warum die Unterscheidung?

RFC 2818 definierte, dass Browser dies können Verwenden Sie entweder die Felder „Common Name“ (CN) oder „SAN“ für die Überprüfung des Servernamens. RFC 6125 lehnte später die Verwendung von CN ab und empfahl die ausschließliche Verwendung von SANs. Java-Anwendungen entsprechen im Allgemeinen RFC 6125, während einige Browser aus Kompatibilitätsgründen möglicherweise weiterhin CNs akzeptieren.

Hinzufügen alternativer Namen mit Keytool

Keytool ermöglicht das Hinzufügen von SANs zu SSL Zertifikate mit der Option „-ext“. Mit den folgenden Befehlen können alternative Namen hinzugefügt werden:

-ext san=dns:www.example.com
-ext san=ip:10.0.0.1

Kann ich stattdessen OpenSSL verwenden?

Ja, OpenSSL kann auch zum Erstellen von SSL-Zertifikaten verwendet werden SANs. Ändern Sie dazu die Konfigurationsdatei „openssl.cnf“ wie folgt:

[req]
req_extensions = v3_req

[ v3_req ]
subjectAltName=IP:10.0.0.1
# or subjectAltName=DNS:www.example.com

Alternativ setzen Sie die Umgebungsvariable OPENSSL_CONF auf den Speicherort der geänderten Datei „openssl.cnf“.

Das obige ist der detaillierte Inhalt vonWie unterscheiden sich Java-Anwendungen und Browser in der SSL-Servernamensauflösung?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!