Я столкнулся с проблемами совместимости с Oracle Weblogic и SSL-сертификатом, который использует DNS-имена с подстановочными знаками в расширении Subject Alternate Names (SAN). Кажется, что ни у одного из современных браузеров нет проблем с этим, но, согласно Thawte и Oracle, например, это не разрешено, и верификатор имени хоста с подстановочными знаками Weblogic с треском терпит неудачу - по-видимому, по замыслу:
«DNSNames, полученные из расширения SubjectAlternativeNames сертификата однорангового узла, не могут быть подстановочными знаками»
Другие центры сертификации, кажется, совершенно нормально выдают такие сертификаты.
RFC 5280, кажется, оставляет реализацию в этом случае в воздухе:
«Наконец, семантика альтернативных имен субъектов, которые включают подстановочные знаки (например, в качестве заполнителя для набора имен), не рассматривается в этой спецификации. Приложения с особыми требованиями МОГУТ использовать такие имена, но они должны определять семантику».
Помимо очевидных соображений безопасности, есть ли применимые правила?
PS Теперь я действительно могу ценить стандарты...
