java 证书缺乏扩展项_证书签发与 SubjectAltName 扩展项

subjectAltName 在 RFC 5280 4.2.1.6. 中提供了详细的说明，subjectAltName 是 X.509 version 3 的一个扩展项，该扩展项用于标记和界定证书持有者的身份。

在 X.509 格式的证书中，一般使用 Issuer 项标记证书的颁发者信息，该项必须是一个非空的 Distinguished Name 名称。除此之外还可以使用扩展项 issuerAltName 来标记颁发者的其他名称，这是一个非关键的扩展项。

对于证书持有者，一般使用 Subject 项标记，并使用 subjectAltName 扩展项提供更详细的持有者身份信息。 subjectAltName 全称为 Subject Alternative Name，缩写为 SAN。它可以包括一个或者多个的电子邮件地址，域名，IP地址和 URI 等，详细定义如下：

SubjectAltName ::= GeneralNames

GeneralNames ::= SEQUENCE SIZE (1..MAX) OF GeneralName

GeneralName ::= CHOICE {

otherName [0] OtherName,

rfc822Name [1] IA5String,

dNSName [2] IA5String,

x400Address [3] ORAddress,

directoryName [4] Name,

ediPartyName [5] EDIPartyName,

uniformResourceIdentifier [6] IA5String,

iPAddress [7] OCTET STRING,

registeredID [8] OBJECT IDENTIFIER

}

当颁发的证书不存在 Subject 项的时候，证书必须包含扩展项 subjectAltName，并且标记为关键(critical)的。当颁发的证书存在 Subject 项的时候，必须将扩展项 subjectAltName 标记为非关键(no-critical)的。注意：用于颁发证书的 CA 证书是必须包含 Subject 项的。

根据 RFC 6125 中的规定，当一个网站使用证书标记自己的身份时，如果证书中包含 subjectAltName，在识别证书持有者时会忽略 Subject 子项，而是通过 subjectAltName 来识别证书持有者。在早期颁发的证书中一般通过 Subject 的 CommonName 来识别持有者的身份，不包含 subjectAltName 扩展项。这会导致最新版本的浏览器Chrome、Firefox 等在通过 HTTPS 访问 web 网站时，触发 NET::ERR_CERT_COMMON_NAME_INVALID 错误。

Java TLS 中的检查过程

Java 在 TLS 建立的过程中，默认通过 sun.security.util.HostnameChecker 进行证书持有者身份检查。检查流程如下：从 SSLSession 中获取到服务端的地址信息 SSLSession#getPeerHost()，这个地址实际上是 Socket 建立连接的时候指定的 IP 地址或域名地址。

判断该地址是 IP 地址还是域名地址。

public void match(String host, X509Certificate serverCert) throws CertificateException {

if (isIpAddress(host)) {

matchIP(host, serverCert);

} else {

this.matchDNS(host, serverCert);

}

}如果是 IP 地址，则在 subjectAltName 中寻找 IP 进行匹配，根据 RFC 5280 4.2.1.6. 中对 GeneralName 的定义 IP 为类型 7。

private static void matchIP(String host, X509Certificate certificate) throws CertificateException {

Collection san = certificate.getSubjectAlternativeNames();

if (san == null) {

throw new CertificateException("No