Newsgroup: it.comp.os.linux.sys
Titolo: Certificato con doppio CN

Visto che i certificati sono di moda in questi giorni da queste parti 
:), ne approfitto anch'io: sapete se è accettabile avere un certificato 
con un doppio Common Name?
Lo scopo è fare in modo che uno stesso server POP3S (Dovecot, per 
rimanere in tema) sia raggiungibile con due hostname diversi.
In base alle ricerche che ho fatto sembra possibile, e ho anche creato 
(con openssl) un certificato con due CN, ma quando lo provo con Outlook 
2007 il client riconosce solo uno dei due CN :(. Stranamente Outlook 
Express invece sembra funzionare.
Soluzioni?
Grazie.
-- 
Ciao,
   Marco.

 con un doppio Common Name?
La soluzione al tuo problema si chiama Subject alternative name.
Parametro subjectAltName di openssl.cnf
Ciao

 Parametro subjectAltName di openssl.cnf
Interessante, grazie... si prospettano altre ore di studio ed 
esperimenti :-P.
-- 
Ciao,
   Marco.

 Parametro subjectAltName di openssl.cnf
Purtroppo non funziona :(.
Il doppio CN per lo meno funzionava con Outlook Express ma non con 
Outlook, invece subjectAltName non funziona con nessuno dei due.
Nel mio caso particolare il server deve essere raggiungibile senza 
avvisi sia tramite nome che tramite IP.
Ho provato in vari modi, tipo:
subjectAltName = IP:<indirizzo IP>
subjectAltName = otherName:1.2.3.4;UTF8:<indirizzo IP>
subjectAltName = dirName:dir_sect
[dir_sect]
C = IT
O = bla bla
OU = bla bla
CN = <indirizzo IP>
subjectAltName = @alt_names
[alt_names]
IP.1 = <indirizzo IP>
Il parametro viene correttamente inserito nel certificato, ma poi i 
client non lo riconoscono.
In un caso mi pare addirittura che funzionasse il nome alternativo ma 
non il CN, forse nel caso di dirName.
Avete consigli?
Grazie.
-- 
Ciao,
   Marco.

 Purtroppo non funziona :(.
Io l'ho usato diverse volte e _con i browser_ (IE7 e firefox) funziona 
senza problemi.
[ usr_cert ]
subjectAltName = 
DNS:
alix.sengo.net
,DNS:alis.sengo.intra,DNS:alix,DNS:
mail.sengo.net
,DNS:
webmail.se
ngo.net
,DNS:
www.sengo.net
,DNS:
ftp.sengo.net
,DNS:
ca.sengo.net
,DNS:
sengo.net
Come puoi vedere ce ne ho ficcati dentro una caterva e vanno tutti senza 
problemi.
Se vuoi ti passo tutto openssl.cnf ma l'unica cosa cambiata è quella 
stringa (Debian Lenny).
Ciao

 subjectAltName = 
Uhm, io l'avevo messo nella sezione v3_req come letto negli archivi 
della lista di openssl. Più un altro paio di cosette, tipo 
"copy_extensions = copy" nella sezione CA_default.
Comunque ho provato ora a metterlo dove dici tu, e il risultato mi 
sembra lo stesso, sia come aspetto del certificato che come esito con i 
client di posta.
Boh? Purtroppo ci sono due differenze importanti fra le nostre 
situazioni: il tipo di client usato (tu browser, io posta) e il tipo di 
AltName (tu hostname, io IP). Quindi può darsi che il diverso esito 
dipenda da uno di questi due fattori.
Ho scritto poco fa sulla mailing list di openssl, speriamo che qualcuno 
sappia aiutarmi.
Se anche non si potesse fare ciò che voglio io, mi piacerebbe almeno 
averne conferma, così smetto di impazzirci ;).
-- 
Ciao,
   Marco.

Marco De Vitis ha scritto:

Google ha rifilato questo:
https://certificates.belnet.be/index.php?module=pagemaster&PAGE_user_op=view_page&PAGE_id=20&MMN_position=22:4

 
https://certificates.belnet.be/index.php?module=pagemaster&PAGE_user_op=view_page&PAGE_id=20&MMN_position=22:4
 
Hmm, grazie ma temo sia riferito a un caso specifico, cioè come ottenere 
da 
belnet.be
 certificati con più CN. In sostanza dicono di mettere nella 
configurazione tutti i nomi come
0.CN
 = First FQDN of your server
1.CN
 = Second FQDN of your server
2.CN
 = Third FQDN of your server
e poi sarà la loro CA a metterli tutti tranne il primo in 
subjectAltName. Quindi il risultato dovrebbe essere lo stesso che ho 
ottenuto io inserendo direttamente in subjectAltName il secondo nome.
Ho comunque provato a fare come dicono, per scrupolo, ma funziona pure 
in modo un po' curioso: succede solo che openssl, quando mi chiede i 
dati per la creazione della richiesta del certificato (con "openssl 
req"), aggiunge altre due domande in base a ciò che ho scritto. Cioè... 
questo è un estratto della relativa sezione del mio openssl.cnf:
commonName                      = Common Name (eg, YOUR name)
commonName_max                  = 64
0.CN
 = 
mail.pippo.org
1.CN
 = <indirizzo IP>
emailAddress                    = Email Address
emailAddress_default            = 
in...@pippo.org
emailAddress_max                = 64
Quando creo la richiesta, openssl mi chiede i vari dati, in questo modo:
Country Name (2 letter code) [IT]:
State or Province Name (full name) [Italy]:
Locality Name (eg, city) [Rome]:
Organization Name (eg, company) [pippo s.r.l.]:
Organizational Unit Name (eg, section) [admin]:
Common Name (eg, YOUR name) []:
mail.pippo.org
 []:
<indirizzo IP> []:
Email Address [
in...@pippo.org
]:
Come vedi, aggiunge due domande il cui testo è quello che ho scritto io 
nei valori di quei due parametri. Se non rispondo niente a quelle due 
domande, il CN del certificato sarà solo quello principale. Altrimenti, 
se rispondo scrivendo di nuovo i due CN, mi ritrovo un certificato con 
TRE CN: due volte il principale, e una volta il secondario. E tutti come 
CN, nessun subjectAltName. Quindi praticamente (a parte il raddoppio del 
primo CN) la prima soluzione che avevo provato, che funziona con OE ma 
non con Outlook.
Stando a quello che dice quel link il risultato dovrebbe essere diverso 
ma, appunto come dicevo all'inizio, sospetto si tratti di un caso 
specifico in base a come gestiscono loro la CA.
-- 
Ciao,
   Marco.