Кратко

  • Редакция 07 проекта рабочей группы TLS от 2 ноября добавила условие, которого не было в редакции 06: если путь отвергнут по причине, отличной от доверия к корню, клиенту SHOULD NOT выбирать ID связанного с ним якоря для повторного соединения.
  • В тексте названы истёкший срок, отзыв, несовпадение имени и ограничение, наложенное клиентом на якорь.
  • Правило касается ID отвергнутого пути. Другой подходящий ID остаётся возможным; число повторов ограничено одним на попытку соединения.

Знакомый издатель не исправляет чужое имя

Сервер может держать несколько цепочек сертификатов и перечислить их якорные ID в EncryptedExtensions. При ошибке первоначального выбора клиент, который запросил дополнительные якоря или пропустил некоторые доверенные, способен снова обратиться к тому же узлу с одним выбранным ID. Редакция 07 сохраняет этот механизм, но добавляет фильтр перед выбором. В редакции 06 повтор и его предел уже были описаны, а нового фильтра ещё не было.

Цепочка может завершаться доверенным корнем, но не пройти проверку: сертификат просрочен, отозван, выдан для другого имени или нарушает местное ограничение клиента. Теперь пункт 5.6 просит не подставлять ID именно такого отвергнутого пути во второй запрос. Формула SHOULD NOT не запрещает выбор другого пригодного ID. Если сервер ничего не перечислил либо подходящего совпадения нет, ошибка возвращается приложению.

Карточка IETF по-прежнему показывает рабочий Internet-Draft со статусом I-D Exists. Проверенные первоисточники не сообщают о реальном обходе проверки или внедрении нового правила. Поправка фиксирует границу: доверие к тому, кто подписал цепочку, не равно разрешению принять каждый сертификат в ней.