¿Qué es un nombre común (CN)?

El nombre común (CN) es un campo del sujeto de un certificado X.509 —y, por separado, un atributo de una entrada de directorio LDAP— que, tradicionalmente, identifica al titular del certificado, como el nombre de host de un servidor o el nombre de cuenta de un usuario. Se establece al generar una solicitud de firma de certificado y se comprueba al validar un certificado de contraparte.

Puntos clave

• El CN identifica el sujeto de un certificado: un nombre de host o una identidad de usuario.
• La validación TLS moderna comprueba las entradas SAN, y no las CN, para verificar la coincidencia del nombre de host.
• CN también designa entradas de LDAP/Active Directory que no guardan relación con los certificados.
• Para que la instalación se realice correctamente, el CN de un nodo «Director» debe coincidir exactamente con su nombre de host.
• Versa Puede asociar un CN a un nombre de usuario para la autenticación mediante certificados de dispositivo o de usuario.

En esta página: Por qué es importante · Cómo funciona · ¿Dónde aparece un nombre común? · Nombre común y Versa · Preguntas frecuentes

¿Por qué es importante un nombre común?

El «nombre común» (Common Name) es el campo que un cliente o navegador suele consultar para responder a una pregunta básica de seguridad: ¿es este el servidor o la persona con la que pretendo conectarme? Durante un protocolo de enlace TLS, los clientes solían comparar el nombre de host solicitado con el CN del certificado; cualquier discrepancia activaba una advertencia de confianza, ya que indicaba una posible suplantación de identidad o una configuración errónea. Esa cadena, que se proporciona al generar la clave privada del certificado y la solicitud de firma de certificado (CSR), es fundamental para confirmar que ambos extremos de una conexión cifrada son quienes dicen ser.

Lo que está en juego va más allá de lo meramente estético: un CN incorrecto o caducado provoca fallos en los sistemas automatizados, como los clientes API o la replicación de nodo a nodo, que se cierran en lugar de conectarse a un par no verificado. En los servicios de directorio, el CN tiene una importancia similar desde otro punto de vista: identifica de forma única a una persona, una cuenta de servicio o un contenedor dentro de un árbol LDAP o Active Directory, y los administradores dependen de él para que las consultas de enlace y búsqueda se realicen correctamente. Asegurarse de que el CN sea correcto, en cualquiera de los dos contextos, es una condición previa para que la autenticación funcione en absoluto.

¿Qué es un nombre común?

En un certificado X.509, el «nombre común» (Common Name) es uno de los varios atributos que conforman el «nombre distinguido del sujeto» (Subject Distinguished Name) del certificado, junto con campos como «organización» (O), «unidad organizativa» (OU), «localidad» (L) y «país» (C). En el caso de un certificado de servidor, el CN solía contener el nombre de dominio completo para el que se emitía el certificado; en el caso de un certificado de cliente o de usuario, suele contener, en cambio, el nombre de una persona o el identificador de su cuenta. El valor se proporciona al generar una solicitud de firma de certificado —el archivo, que contiene una clave pública y estos campos del sujeto, que se envía a una autoridad de certificación (CA) para su firma—.

Esas mismas tres letras también describen un concepto relacionado por su nombre, pero distinto, en los servicios de directorio: en LDAP y Active Directory, «Common Name» es el atributo del nombre distinguido relativo (RDN) que identifica una entrada concreta —un usuario, una cuenta de servicio o un contenedor— en su posición dentro del árbol del directorio, y se escribe como cn=value y se combina con otros RDN para formar un nombre distinguido completo.

¿Dónde aparece un nombre común?

Certificados de servidor (leaf). Históricamente, el campo «CN» contenía el nombre de host para el que se había emitido un certificado de servidor TLS, se facilitaba junto con la clave privada al crear la solicitud de certificado (CSR) y permanecía fijo durante toda la vigencia del certificado.

Certificados de cliente y de usuario. En la autenticación TLS mutua y en la autenticación mediante certificados de dispositivo o de usuario, el CN suele contener un nombre de usuario, un identificador de dispositivo o un nombre completo, en lugar de un nombre de host, ya que la función del certificado es acreditar una identidad y no una dirección de red.

Certificados autofirmados. Las herramientas que generan certificados autofirmados para uso en laboratorio, pruebas de concepto o instalaciones iniciales siguen solicitando un nombre común (CN) —normalmente el nombre de host local— porque este campo es obligatorio en el sujeto X.509, incluso cuando no interviene ninguna autoridad de certificación externa.

Entradas de LDAP y Active Directory. Al margen de la PKI, «CN» es el RDN que identifica a un objeto de directorio y que aparece dentro de un nombre distinguido como, por ejemplo: cn=Administrator,cn=Users,dc=example,dc=com. Este uso es anterior y no guarda relación con su función en los certificados, aunque ambos se remontan a las mismas convenciones de nomenclatura X.500.

Nombre común y Versa

En un Versa nodo, CN aparece en dos lugares durante la creación del certificado: el script del certificado autofirmado solicita un cn valor —el nombre de host del nodo «Director»— y el script de generación de la CSR toma un domain campo documentado como «nombre común del nodo Director activo», que «debe coincidir exactamente» con el nombre de host del nodo para que un certificado firmado por una CA se instale y se valide correctamente.

En SSE Gateway, perfiles de autenticación Utilizar el CN de forma diferente: los perfiles de autenticación mediante certificados de dispositivo y de usuario permiten al administrador elegir qué campo —CN, nombre principal de usuario (UPN) o nombre alternativo del sujeto (SAN)— identifica al usuario que se conecta, y la correspondencia entre el CN del certificado y el nombre de usuario definido en LDAP o SAML se describe como una forma de evitar que un dispositivo compartido sea suplantado por múltiples identidades. Las mismas letras también aparecen en los DN de enlace LDAP utilizados para la autenticación en directorios, por ejemplo: cn=Administrator,cn=Users,dc=versa,dc=com.

Cuando falla el inicio de sesión de un cliente de «SASE » mediante la autenticación con certificado de usuario, los pasos de resolución de problemas comprueban si el CN del certificado —normalmente, un nombre principal de usuario o nombre para mostrar— coincide con el nombre de usuario con el que el usuario está intentando autenticarse; una discrepancia en este aspecto es una causa documentada de fallo.

Preguntas frecuentes

¿Cuál es la diferencia entre un nombre común y un nombre alternativo del sujeto?

El «nombre común» (Common Name) es un campo de sujeto único que se ha utilizado históricamente para la correspondencia de nombres de host; el «nombre alternativo del sujeto» (Subject Alternative Name, SAN) es una extensión del certificado que puede incluir varios nombres de host, direcciones IP o identidades. Los navegadores modernos y las bibliotecas TLS realizan la validación basándose en las entradas SAN, y consideran el CN como un dato informativo y no como una referencia oficial.

¿Por qué los navegadores modernos ya no confían en el «nombre común» para la validación del nombre de host?

Las investigaciones en materia de seguridad revelaron que la comprobación basada únicamente en el CN era fácil de falsificar y presentaba inconsistencias entre las distintas implementaciones. El CA/Browser Forum y los principales fabricantes de navegadores dejaron de recomendar la comprobación de nombres de host basada en el CN en favor de la extensión SAN, que una autoridad de certificación firma explícitamente para cada nombre de host que cubre un certificado.

¿Es lo mismo un «nombre común» que un «nombre distinguido»?

No. Un «nombre distinguido» (DN) es el identificador jerárquico completo de un sujeto de certificado o de una entrada de directorio, formado a partir de varios atributos. El «nombre común» es solo uno de esos atributos —normalmente el más específico— que, junto con «organización», «localidad» y otros, conforma el DN completo.

¿Qué ocurre si el «nombre común» de un certificado no coincide con el nombre de host del servidor?

Los clientes que siguen comprobando el CN, o que recurren a él cuando no hay ningún SAN, muestran una advertencia sobre la fiabilidad del certificado o rechazan la conexión. En un director de Versa , un CN que no coincida exactamente con el nombre de host del nodo puede impedir que un certificado se instale o se valide correctamente.

¿Cómo utiliza « Versa » el nombre común en la autenticación de certificados de dispositivos o de usuarios?

VersaSSE Gateway permite a los administradores seleccionar el CN como «campo de identificación del nombre de usuario en el certificado» para los perfiles de autenticación mediante certificados de dispositivo o de usuario, de modo que el valor del CN del certificado presentado se compara con el nombre de usuario LDAP o SAML antes de conceder el acceso.

Más información sobre el nombre común

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre «Common Name», te recomendamos que eches un vistazo a lo siguiente.