Qu'est-ce qu'un nom commun (CN) ?

Le nom commun (CN) est un champ figurant dans le sujet d'un certificat X.509 – et, par ailleurs, un attribut d'une entrée d'annuaire LDAP – qui identifie traditionnellement le titulaire du certificat, par exemple le nom d'hôte d'un serveur ou le nom de compte d'un utilisateur. Il est défini lors de la génération d'une demande de signature de certificat et vérifié lors de la validation d'un certificat de pair.

Points clés à retenir

• Le CN identifie le sujet d'un certificat : un nom d'hôte ou une identité d'utilisateur.
• La validation TLS moderne vérifie les entrées SAN, et non les entrées CN, pour s'assurer de la correspondance avec le nom d'hôte.
• CN désigne également des entrées LDAP/Active Directory, sans rapport avec les certificats.
• Pour que l'installation se déroule correctement, le nom de domaine (CN) d'un nœud Director doit correspondre exactement à son nom d'hôte.
• Versa permet d'associer un CN à un nom d'utilisateur pour l'authentification par certificat de périphérique ou d'utilisateur.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Où apparaît un nom commun ? · Nom commun et Versa · FAQ

Pourquoi le nom commun est-il important ?

Le « nom commun » (Common Name) est le champ que le client ou le navigateur consulte habituellement pour répondre à une question de sécurité fondamentale : s'agit-il bien du serveur ou de la personne que je cherche à contacter ? Lors d’une poignée de main TLS, les clients comparaient historiquement le nom d’hôte demandé au nom commun (CN) du certificat ; une divergence déclenchait un avertissement de confiance, car elle signalait une possible usurpation d’identité ou une mauvaise configuration. Cette chaîne de caractères, fournie lors de la génération de la clé privée du certificat et de la demande de signature de certificat (CSR), joue un rôle central dans la confirmation que les deux extrémités d’une connexion chiffrée sont bien celles qu’elles prétendent être.

Les enjeux vont bien au-delà de la simple apparence : un CN erroné ou périmé perturbe les systèmes automatisés, tels que les clients API ou la réplication de nœud à nœud, qui préfèrent échouer plutôt que de se connecter à un pair non vérifié. Dans les services d’annuaire, le CN revêt une importance similaire, mais sous un angle différent : il identifie de manière unique une personne, un compte de service ou un conteneur au sein d’une arborescence LDAP ou Active Directory, et les administrateurs s’appuient sur lui pour garantir la bonne exécution des requêtes de liaison et de recherche. Dans les deux contextes, l’exactitude du CN est une condition préalable au bon fonctionnement de l’authentification.

Qu'est-ce qu'un nom commun ?

Dans un certificat X.509, le « nom commun » (Common Name) est l’un des nombreux attributs qui composent le « nom distinctif du sujet » (Subject Distinguished Name) du certificat, aux côtés de champs tels que « organisation » (O), « unité organisationnelle » (OU), « localité » (L) et « pays » (C). Pour un certificat de serveur, le CN contient traditionnellement le nom de domaine complet pour lequel le certificat a été émis ; pour un certificat de client ou d’utilisateur, il contient généralement le nom d’une personne ou l’identifiant de son compte. Cette valeur est fournie lors de la génération d’une demande de signature de certificat – le fichier, contenant une clé publique et ces champs relatifs au sujet, qui est soumis à une autorité de certification (CA) pour signature.

Ces trois mêmes lettres désignent également un concept distinct, bien que lié par son nom, dans les services d’annuaire : dans LDAP et Active Directory, le « Common Name » (nom commun) est l’attribut du nom distinctif relatif (RDN) qui identifie une entrée unique – un utilisateur, un compte de service ou un conteneur – à sa position dans l’arborescence de l’annuaire, et s’écrit comme suit : cn=value et combiné à d'autres RDN pour former un nom distinctif complet.

Où trouve-t-on un nom commun ?

Certificats de serveur (feuille). Historiquement, le nom commun (CN) indiquait le nom d’hôte pour lequel un certificat de serveur TLS avait été émis ; il était fourni avec la clé privée lors de la création de la demande de certificat (CSR) et restait fixe pendant toute la durée de validité du certificat.

Certificats clients et utilisateurs. Dans le cadre de l'authentification TLS mutuelle et de l'authentification par certificat d'appareil ou d'utilisateur, le nom commun (CN) contient généralement un nom d'utilisateur, un identifiant d'appareil ou un nom complet plutôt qu'un nom d'hôte, car le certificat a pour fonction de prouver une identité plutôt qu'une adresse réseau.

Certificats auto-signés. Les outils qui génèrent des certificats auto-signés destinés à une utilisation en laboratoire, à des fins de validation de concept ou lors d'une première installation demandent tout de même de saisir un nom commun (CN) – généralement le nom d'hôte local –, car ce champ est obligatoire dans l'entité X.509, même en l'absence d'autorité de certification (CA) externe.

Entrées LDAP et Active Directory. En dehors du cadre de l'infrastructure à clé publique (PKI), le CN est le RDN qui désigne un objet d'annuaire ; il apparaît dans un nom distinctif (Distinguished Name) tel que cn=Administrator,cn=Users,dc=example,dc=com. Cette utilisation est antérieure à son rôle dans les certificats et n'a aucun lien avec celui-ci, bien que les deux remontent aux mêmes conventions de nommage X.500.

Nom commun & Versa

Sur un Versa nœud, CN apparaît à deux endroits lors de la création du certificat : le script de certificat auto-signé demande un cn valeur – le nom d'hôte du nœud « Director » – et le script de génération de CSR prend une domain champ décrit comme « nom commun du nœud Director actif », qui « doit correspondre exactement » au nom d’hôte du nœud pour qu’un certificat signé par une autorité de certification puisse être installé et validé correctement.

Sur la passerelle SSE, profils d'authentification Utilisation différente du CN : les profils d’authentification par certificat de périphérique et d’utilisateur permettent à un administrateur de choisir quel champ – CN, nom principal de l’utilisateur (User Principal Name) ou nom alternatif du sujet (Subject Alternative Name) – identifie l’utilisateur qui se connecte ; la mise en correspondance du CN du certificat avec le nom d’utilisateur défini dans LDAP ou SAML est documentée comme un moyen d’empêcher qu’un périphérique partagé ne soit utilisé pour usurper plusieurs identités. Ces mêmes lettres apparaissent également dans les DN de liaison LDAP utilisés pour l’authentification par annuaire, par exemple cn=Administrator,cn=Users,dc=versa,dc=com.

Lorsque la connexion d'un clientSASE échoue dans le cadre d'une authentification par certificat utilisateur, les étapes de dépannage consistent à vérifier si le nom commun (CN) du certificat – généralement un nom principal d'utilisateur ou un nom d'affichage – correspond au nom d'utilisateur sous lequel l'utilisateur tente de s'authentifier ; une non-correspondance à ce niveau constitue une cause d'échec documentée.

Questions fréquentes

Quelle est la différence entre un nom commun et un nom alternatif du sujet ?

Le « nom commun » (Common Name, CN) est un champ « sujet » unique historiquement utilisé pour la correspondance des noms d'hôte ; le « nom alternatif du sujet » (Subject Alternative Name, SAN) est une extension de certificat pouvant répertorier plusieurs noms d'hôte, adresses IP ou identités. Les navigateurs modernes et les bibliothèques TLS effectuent des validations par rapport aux entrées SAN, considérant le CN comme une information à titre indicatif plutôt que comme une référence faisant autorité.

Pourquoi les navigateurs modernes ne se fient-ils plus au « Common Name » pour la validation des noms d'hôte ?

Des recherches en matière de sécurité ont montré que la vérification basée uniquement sur le nom commun (CN) était facile à contourner et présentait des incohérences d'une implémentation à l'autre. Le CA/Browser Forum et les principaux éditeurs de navigateurs ont déconseillé la vérification des noms d'hôte basée sur le CN au profit de l'extension SAN, que l'autorité de certification (CA) signe explicitement pour chaque nom d'hôte couvert par un certificat.

Un « nom commun » correspond-il à un « nom distinctif » ?

Non. Un « Distinguished Name » (DN) est l'identifiant hiérarchique complet d'un sujet de certificat ou d'une entrée d'annuaire, constitué de plusieurs attributs. Le « nom commun » n'est qu'un de ces attributs – généralement le plus spécifique – qui, combiné aux attributs « organisation », « localité » et autres, forme le DN complet.

Que se passe-t-il si le nom commun d'un certificat ne correspond pas au nom d'hôte du serveur ?

Les clients qui vérifient encore le CN, ou qui s'en servent par défaut en l'absence de SAN, affichent un avertissement concernant la fiabilité du certificat ou refusent la connexion. Sur Versa Director, un CN qui ne correspond pas exactement au nom d'hôte du nœud peut empêcher l'installation ou la validation correcte d'un certificat.

Comment « Versa » utilise-t-il le nom commun lors de l'authentification par certificat de périphérique ou d'utilisateur ?

VersaLa passerelle SSE permet aux administrateurs de sélectionner le CN (nom commun) comme « champ d'identification de l'utilisateur dans le certificat » pour les profils d'authentification par certificat de périphérique ou d'utilisateur ; ainsi, la valeur du CN figurant dans le certificat présenté est comparée au nom d'utilisateur LDAP ou SAML avant que l'accès ne soit accordé.

En savoir plus sur le nom commun

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à « Common Name », voici quelques liens qui pourraient vous intéresser.