Was ist ein gebräuchlicher Name (CN)?

Der Common Name (CN) ist ein Feld im Betreff eines X.509-Zertifikats – und darüber hinaus ein Attribut in einem LDAP-Verzeichniseintrag –, das üblicherweise den Zertifikatsinhaber identifiziert, beispielsweise den Hostnamen eines Servers oder den Kontonamen eines Benutzers. Er wird bei der Erstellung einer Zertifikatssignierungsanforderung festgelegt und bei der Validierung eines Peer-Zertifikats überprüft.

Die wichtigsten Erkenntnisse

• CN gibt den Betreff eines Zertifikats an – einen Hostnamen oder eine Benutzeridentität.
• Bei der modernen TLS-Validierung werden SAN-Einträge und nicht CN-Einträge auf Übereinstimmung mit dem Hostnamen überprüft.
• CN bezeichnet auch LDAP-/Active-Directory-Einträge, die nichts mit Zertifikaten zu tun haben.
• Damit die Installation reibungslos verläuft, muss die CN eines Director-Knotens exakt mit dessen Hostnamen übereinstimmen.
• Versa kann CN einem Benutzernamen zuordnen, um die Authentifizierung über ein Geräte- oder Benutzerzertifikat durchzuführen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Wo taucht ein gebräuchlicher Name auf? · Allgemeiner Name & Versa · Häufig gestellte Fragen

Warum ist ein gebräuchlicher Name wichtig?

Ein „Common Name“ ist das Feld, das ein Client oder Browser üblicherweise ausliest, um eine grundlegende Sicherheitsfrage zu beantworten: Ist dies der Server oder die Person, die ich erreichen wollte? Während eines TLS-Handshakes verglichen Clients in der Vergangenheit den angeforderten Hostnamen mit dem CN des Zertifikats; eine Nichtübereinstimmung löste eine Vertrauenswarnung aus, da dies auf eine mögliche Identitätsfälschung oder Fehlkonfiguration hindeutete. Diese Zeichenfolge, die bei der Generierung des privaten Schlüssels und der Zertifikatssignierungsanforderung (CSR) des Zertifikats bereitgestellt wird, spielt eine zentrale Rolle bei der Bestätigung, dass beide Enden einer verschlüsselten Verbindung tatsächlich die sind, für die sie sich ausgeben.

Es geht um mehr als nur um eine kosmetische Angelegenheit – ein falscher oder abgelaufener CN führt zum Ausfall automatisierter Systeme wie API-Clients oder der Knoten-zu-Knoten-Replikation, die lieber den Betrieb einstellen, als eine Verbindung zu einem nicht verifizierten Peer herzustellen. Bei Verzeichnisdiensten hat der CN aus einem anderen Blickwinkel eine ähnliche Bedeutung: Er benennt eine Person, ein Dienstkonto oder einen Container innerhalb einer LDAP- oder Active-Directory-Struktur eindeutig, und Administratoren sind darauf angewiesen, um korrekte Bind- und Suchabfragen durchzuführen. In beiden Kontexten ist die korrekte Angabe des CN eine Grundvoraussetzung dafür, dass die Authentifizierung überhaupt funktioniert.

Was ist ein gebräuchlicher Name?

In einem X.509-Zertifikat ist der „Common Name“ eines von mehreren Attributen, die zusammen mit Feldern wie „Organisation“ (O), „Organisationseinheit“ (OU), „Ort“ (L) und „Land“ (C) den „Subject Distinguished Name“ des Zertifikats bilden. Bei einem Serverzertifikat enthielt der „Common Name“ (CN) traditionell den vollqualifizierten Domänennamen, für den das Zertifikat ausgestellt wurde; bei einem Client- oder Benutzerzertifikat enthält er stattdessen in der Regel den Namen einer Person oder eine Konto-ID. Der Wert wird bei der Erstellung einer Zertifikatssignierungsanforderung angegeben – jener Datei, die einen öffentlichen Schlüssel und diese Subjektfelder enthält und zur Signierung an eine Zertifizierungsstelle (CA) übermittelt wird.

Dieselben drei Buchstaben bezeichnen auch ein namensmäßig verwandtes, aber eigenständiges Konzept in Verzeichnisdiensten: In LDAP und Active Directory ist „Common Name“ das Attribut „Relative Distinguished Name“ (RDN), das einen einzelnen Eintrag – einen Benutzer, ein Dienstkonto oder einen Container – an seiner Position in der Verzeichnisstruktur identifiziert und wie folgt geschrieben wird: cn=value und mit anderen RDNs zu einem vollständigen Distinguished Name kombiniert.

Wo taucht ein gebräuchlicher Name auf?

Server- (Leaf-)Zertifikate. Der CN enthielt ursprünglich den Hostnamen, für den ein TLS-Serverzertifikat ausgestellt wurde; er wurde bei der Erstellung der CSR zusammen mit dem privaten Schlüssel angegeben und blieb für die gesamte Laufzeit des Zertifikats unverändert.

Client- und Benutzerzertifikate. Bei der Mutual-TLS-Authentifizierung sowie bei der Authentifizierung über Geräte- oder Benutzerzertifikate enthält das CN in der Regel einen Benutzernamen, eine Gerätekennung oder einen vollständigen Namen anstelle eines Hostnamens, da die Aufgabe des Zertifikats darin besteht, eine Identität und nicht eine Netzwerkadresse nachzuweisen.

Selbstsignierte Zertifikate. Tools, die selbstsignierte Zertifikate für Laborzwecke, Proof-of-Concept-Anwendungen oder Erstinstallationen generieren, fordern weiterhin die Eingabe eines CN an – in der Regel den lokalen Hostnamen –, da dieses Feld im X.509-Subjekt obligatorisch ist, auch wenn keine externe Zertifizierungsstelle beteiligt ist.

LDAP- und Active Directory-Einträge. Ganz unabhängig von der PKI ist „CN“ der RDN, der ein Verzeichnisobjekt benennt und in einem Distinguished Name wie beispielsweise cn=Administrator,cn=Users,dc=example,dc=com. Diese Verwendung ist älter als die Verwendung in Zertifikaten und steht in keinem Zusammenhang damit, obwohl beide auf dieselben X.500-Namenskonventionen zurückgehen.

Allgemeiner Name & Versa

Auf einem Versa Knoten: CN erscheint bei der Zertifikatserstellung an zwei Stellen: Das Skript für das selbstsignierte Zertifikat fordert zur Eingabe eines cn Wert – den Hostnamen des Director-Knotens – und das Skript zur CSR-Erstellung übernimmt einen domain Feld, das als „allgemeine Bezeichnung für den aktiven Director-Knoten“ dokumentiert ist und das „exakt mit dem Hostnamen des Knotens übereinstimmen muss“, damit ein von einer Zertifizierungsstelle signiertes Zertifikat korrekt installiert und validiert werden kann.

Auf dem SSE-Gateway, Authentifizierungsprofile CN anders verwenden: Bei Authentifizierungsprofilen für Geräte- und Benutzerzertifikate kann ein Administrator festlegen, welches Feld – CN, User Principal Name oder Subject Alternative Name – den sich verbindenden Benutzer identifiziert. Die Abgleichung des CN des Zertifikats mit dem in LDAP oder SAML definierten Benutzernamen wird als Methode dokumentiert, um zu verhindern, dass ein gemeinsam genutztes Gerät als mehrere Identitäten missbraucht wird. Dieselben Buchstaben tauchen beispielsweise auch in LDAP-Bind-DNs auf, die für die Verzeichnisauthentifizierung verwendet werden, zum Beispiel cn=Administrator,cn=Users,dc=versa,dc=com.

Wenn die Anmeldung eines „SASE “-Clients bei der Authentifizierung mittels Benutzerzertifikat fehlschlägt, wird im Rahmen der Fehlerbehebung überprüft, ob der CN des Zertifikats – in der Regel ein User Principal Name oder Anzeigename – mit dem Benutzernamen übereinstimmt, unter dem sich der Benutzer authentifiziert; eine Nichtübereinstimmung ist eine dokumentierte Fehlerursache.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem „Common Name“ und einem „Subject Alternative Name“?

Der „Common Name“ (CN) ist ein einzelnes Feld im Zertifikat, das ursprünglich zum Abgleich von Hostnamen verwendet wurde; der „Subject Alternative Name“ (SAN) ist eine Zertifikatserweiterung, in der mehrere Hostnamen, IP-Adressen oder Identitäten aufgeführt werden können. Moderne Browser und TLS-Bibliotheken führen eine Validierung anhand der SAN-Einträge durch und betrachten den CN eher als informativen als als maßgeblichen Wert.

Warum vertrauen moderne Browser bei der Validierung von Hostnamen nicht mehr auf den „Common Name“?

Sicherheitsuntersuchungen ergaben, dass eine reine CN-Prüfung leicht zu manipulieren war und sich je nach Implementierung unterschied. Das CA/Browser Forum und die großen Browser-Anbieter haben die CN-basierte Hostnamenprüfung zugunsten der SAN-Erweiterung verworfen, die eine Zertifizierungsstelle ausdrücklich für jeden Hostnamen signiert, den ein Zertifikat abdeckt.

Ist ein gebräuchlicher Name dasselbe wie ein eindeutiger Name?

Nein. Ein „Distinguished Name“ (DN) ist die vollständige hierarchische Kennung für einen Zertifikatsinhaber oder einen Verzeichniseintrag, die sich aus mehreren Attributen zusammensetzt. Der „Common Name“ ist nur eines dieser Attribute – in der Regel das spezifischste –, das zusammen mit „Organisation“, „Ort“ und anderen Attributen den vollständigen DN bildet.

Was passiert, wenn der „Common Name“ eines Zertifikats nicht mit dem Hostnamen des Servers übereinstimmt?

Clients, die weiterhin den CN überprüfen oder auf diesen zurückgreifen, wenn kein SAN vorhanden ist, zeigen eine Warnung zur Zertifikatsvertrauenswürdigkeit an oder lehnen die Verbindung ab. Im „ Versa Director“ kann ein CN, der nicht genau mit dem Hostnamen des Knotens übereinstimmt, dazu führen, dass ein Zertifikat nicht korrekt installiert oder validiert werden kann.

Wie verwendet „ Versa “ den „Common Name“ bei der Authentifizierung von Geräte- oder Benutzerzertifikaten?

VersaMit dem SSE Gateway von […] können Administratoren „CN“ als „Feld zur Identifizierung des Benutzernamens im Zertifikat“ für Authentifizierungsprofile mit Geräte- oder Benutzerzertifikaten auswählen, sodass der Wert im Feld „CN“ des vorgelegten Zertifikats mit dem LDAP- oder SAML-Benutzernamen abgeglichen wird, bevor der Zugriff gewährt wird.

Mehr zum gebräuchlichen Namen

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über „Common Name“ informieren, sollten Sie sich als Nächstes diese Artikel ansehen.