SSL證書 - 是否允許在SAN擴展中使用通配符？

Question

我遇到了Oracle Weblogic和一個SSL證書的兼容性問題，該證書在主題備用名稱（SAN）擴展中使用通配符DNS名稱。似乎沒有一個現代瀏覽器中有一個問題，但根據Thwate和甲骨文例如，這是不允許的，Weblogic的通配符主機名校驗悲慘的失敗了 - 顯然是設計：從獲得

http://docs.oracle.com/cd/E29542_01/apirefs.1111/e13941/weblogic/security/utils/SSLWLSWildcardHostnameVerifier.html

「DNSNames對等證書的SubjectAlternativeNames擴展名可能沒有通配符「

其他CA似乎完全可以通過頒發此類證書。

RFC 5280，似乎在這種情況下，離開執行在空中：

「最後，包括通配符（例如，作爲一組名稱的佔位符）主題備用名稱的語義得不到解決具有特定需求的應用程序可以使用這些名稱，但是它們必須定義語義。「

除了明顯的安全考慮外，還有哪些規則適用？

PS 現在，我才能真正體會到其標準......

Answer 1

SAN使用通配符是完全有效的HTTPS。 RFC5280可能不是這個東西的正確RFC，因爲它會留下這些細節。最好看看RFC6125和RFC2818。 但當然通配符有限制。您只能在最左邊的標籤（不是*.*.com）中使用它們，並且它們只匹配單個標籤，即*.example.com匹配www.example.com，但不匹配www.foo.example.com。