SSL 证书 - 是否允许 SAN 扩展中的通配符？

Question

我遇到了与 Oracle Weblogic 和在主题备用名称 (SAN) 扩展中使用通配符 DNS 名称的 SSL 证书的兼容性问题。似乎现代浏览器都没有这方面的问题，但根据 Thawte 和 Oracle 的说法，例如，这是不允许的，Weblogic 的通配符主机名验证器惨遭失败 - 显然是设计使然:

http://docs.oracle.com/cd/E29542_01/apirefs.1111/e13941/weblogic/security/utils/SSLWLSWildcardHostnameVerifier.html

“从对等证书的 SubjectAlternativeNames 扩展中获得的 DNSNames 不能被通配”

其他 CA 似乎完全可以颁发此类证书。

RFC 5280 似乎将这种情况下的实现悬而未决:

“最后，本规范未解决包含通配符(例如，作为一组名称的占位符)的主题替代名称的语义。具有特定要求的应用程序可以使用此类名称，但它们必须定义语义”

撇开明显的安全考虑，是否有适用的规则？

附言现在我真的很感激拥有标准...

Answer 1

带通配符的 SAN 对 HTTPS 完全有效。 RFC5280 可能不是这些东西的正确 RFC，因为它遗漏了这些细节。最好看看 RFC6125 和 RFC2818。但是通配符当然有限制。您只能在最左边的标签中使用它们(没有 *.*.com)并且它们只匹配一个标签，即 *.example.com 匹配 www.example.com 但不是 www.foo.example.com。