Welches Format für die CN- und DNS-Felder in einem SSL-Zertifikat für einen IDN?

Question

Wenn ich ein SSL-Zertifikat für eine IDN-Domäne erhalte, sollte ich erwarten, dass der Wert im CN-Feld die literale UTF-8-Zeichenfolge für den Domänennamen oder die Escape-, Punycode-Version ist?

Was ist mit den X509v3 Subject Alternative Name DNS-Einträge, würden diese im selben Format sein?

Konnte ich einige Beispiel-CRT-Dateien sehen oder zu IDNs verlinken, die SSL benutzen?

Gibt es eine normative Spezifikation?

Answer 1

Angenommen, Sie sprechen über HTTPS, werden die Regeln, die traditionell für die Verifizierung des Hostnamens verwendet werden, in RFC 2818, Section 3.1 definiert, in der Internationalized Domain Names überhaupt nicht erwähnt werden.

In jüngerer Zeit wurde ein "Best Practice" RFC, RFC 6125, geschrieben, um die Verifizierungsprozeduren für Hostnamen über Protokolle hinweg zu harmonisieren und eine Reihe weiterer Punkte zu klären. Hier ist, was es sagt über IDN (section 6.4.2):

If the DNS domain name portion of a reference identifier is an 
internationalized domain name, then an implementation MUST convert 
any U-labels [IDNA-DEFS] in the domain name to A-labels before 
checking the domain name. In accordance with [IDNA-PROTO], A-labels 
MUST be compared as case-insensitive ASCII. Each label MUST match in 
order for the domain names to be considered to match, except as 
supplemented by the rule about checking of wildcard labels 
(Section 6.4.3; but see also Section 7.2 regarding wildcards in 
internationalized domain names). 

Leider ist dies nicht, dass Sie in der Praxis helfen können. Erstens ist RFC 6125 relativ neu, und wenige Anwendungen oder Bibliotheken behaupten, es soweit ich weiß zu implementieren. Zweitens folgen nicht alle Bibliotheken RFC 2818 auf den Buchstaben (Browser können manchmal toleranter in Bezug darauf sein, welche CNs zum Beispiel akzeptabel sind).