Кратко

  • Сервер предъявляет идентификаторы из сертификата, а клиент независимо определяет допустимые эталонные идентификаторы.
  • DNS, балансировщик и записи SVCB или HTTPS могут сменить конечную точку, но не получают автоматического права переименовать исходный сервис.
  • Совпадение имени — лишь одна проверка: оно не заменяет построение цепочки PKIX, контроль срока и отзыва или авторизацию операции.

Критерий проверки не приходит из проверяемого объекта

RFC 9525 различает предъявленный идентификатор в конечном сертификате сервера и эталонный идентификатор, описывающий ожидание клиента. Первый сообщает, какие имена удостоверены данным сертификатом. Второй фиксирует сервис, к которому собиралось обратиться приложение.

Если клиент построит список допустимых значений из самого сертификата, сервер одновременно сформулирует утверждение и критерий его принятия. Строки смогут совпасть, однако независимого доказательства не останется. Поэтому перечень эталонов должен существовать до чтения предъявленных имён.

При успехе совпавший эталон становится проверенной идентичностью сервиса. Результат не угадывает замысел пользователя, не исправляет вредоносную ссылку и не определяет, кому разрешено принять последующую команду.

У исходного имени есть происхождение

Исходный домен обычно появляется из URL, настройки, прямого ввода или иного понятного приложению указателя. В некоторых протоколах к нему добавляется тип прикладного сервиса. За безопасное создание этой ссылки отвечает приложение или протокол; универсальный TLS не знает, зачем началось соединение.

Следовательно, атака может опередить рукопожатие. Фишинговая ссылка ведёт на домен злоумышленника, для которого выпущен совершенно корректный сертификат. Криптография работает штатно, но намерение подменено в источнике эталонного значения.

Для расследования важно сохранять не только имя из сертификата, но и источник эталона, разрешённые преобразования и контекст доверия ко входным данным. Без этого журнал фиксирует ответ и теряет вопрос.

Результат разрешения не становится новым сервисом

DNS-поиск способен пройти через псевдонимы и привести к другому операционному имени. Такие промежуточные значения помогают найти хост, регион или поставщика, но само участие в разрешении не делает их эталонными идентификаторами. Для повышения найденного имени до доверенного нужна отдельная аутентифицированная логика приложения.

Так сохраняется граница между обнаружением и идентичностью. Инфраструктура может выбирать маршрут и машину, не присваивая себе исходное назначение. Автоматическое принятие каждого технического имени незаметно расширяет доверенную область.

SVCB меняет маршрут, а не происхождение

Записи SVCB и HTTPS описывают альтернативные точки, параметры транспорта и TargetName. Однако RFC 9460 сохраняет исходную сервисную идентичность: сертификат проверяют для origin-имени, а SNI и прикладное значение authority не переписывают на техническую цель только из-за нового маршрута.

Благодаря этому трафик можно перенести на внешнюю edge-платформу, не передавая ей право определять все допустимые имена. Обнаружение отвечает, куда отправить пакеты; проверка идентичности — кто должен находиться по найденному адресу.

Типы имён задают разные смыслы

DNS-ID, IP-ID, SRV-ID и URI-ID — разные формы, а не взаимозаменяемые строки. Одни выражают узел, другие способны связать имя с типом сервиса. Приложение заранее определяет подходящие типы и порядок сравнения.

Подстановочный знак для DNS-ID тоже ограничен: он занимает целиком крайний левый компонент, встречается один раз и охватывает ровно один компонент. Более широкое толкование превращает удобство выпуска в неявное делегирование идентичности.

Сертификаты с большим числом имён уменьшают операционные расходы, одновременно связывая прежде раздельные поверхности риска. Компрометация ключа или ошибка центра сертификации затрагивает весь включённый набор.

Имя совпало — сертификат ещё не проверен полностью

Сопоставление идентификаторов входит в более длинную процедуру. Клиенту по-прежнему нужно построить доверенный путь сертификации, проверить время действия, ограничения, политики и применимые сведения об отзыве. Затем приложение отдельно решает, вправе ли подтверждённая сторона выполнять конкретную операцию.

Разделение не позволяет превратить фразу «имя подошло» в разрешение любой сделки. Подлинный сервер может получить запрос из обманутого интерфейса или от учётной записи, которой не делегировано нужное действие.

Несовпадение закрывает соединение, успех сохраняет контекст

Автоматический клиент при отсутствии допустимого совпадения должен прекратить соединение либо применить заранее утверждённую политику. Нельзя в момент ошибки расширять список или выбирать самое похожее имя. Интерактивное исключение часто перекладывает невидимое техническое решение на пользователя без достаточных данных.

При удачной проверке телеметрия должна сохранить совпавший эталон, его тип и происхождение, а также путь обнаружения до конечной точки. Один лишь снимок сертификата не покажет, был ли достигнут задуманный сервис или только корректно удостоверенный чужой.

Источники