Quale formato utilizzare per i campi CN e DNS in un certificato SSL per un IDN?

Question

Se viene emesso un certificato SSL per un dominio IDN, è necessario prevedere che il valore nel campo CN sia la stringa UTF-8 letterale per il nome dominio o la versione con escape, punycode?

E le voci DNS di Nome alternativo soggetto X509v3, dovrebbero essere nello stesso formato?

Posso vedere alcuni file crt di esempio o il collegamento a IDN che utilizzano SSL?

Esiste una specifica normativa su questo?

Answer 1

Supponendo che si parli di HTTPS, le regole tradizionalmente utilizzate per la verifica del nome host sono definite in RFC 2818, Section 3.1, che non menziona affatto i nomi di dominio internazionalizzati.

Più recentemente, una "best practice" RFC, RFC 6125, è stata scritta per armonizzare le procedure di verifica del nome host attraverso i protocolli e chiarire un numero di altri punti. Ecco che cosa dice su IDN (section 6.4.2):

If the DNS domain name portion of a reference identifier is an 
internationalized domain name, then an implementation MUST convert 
any U-labels [IDNA-DEFS] in the domain name to A-labels before 
checking the domain name. In accordance with [IDNA-PROTO], A-labels 
MUST be compared as case-insensitive ASCII. Each label MUST match in 
order for the domain names to be considered to match, except as 
supplemented by the rule about checking of wildcard labels 
(Section 6.4.3; but see also Section 7.2 regarding wildcards in 
internationalized domain names). 

Purtroppo, questo non può aiutare nella pratica. Innanzitutto, RFC 6125 è relativamente recente e poche applicazioni o librerie pretendono di implementarlo per quanto ne so. In secondo luogo, non tutte le librerie seguono comunque la RFC 2818 alla lettera (i browser a volte possono essere più tolleranti riguardo a quali CN sono accettabili, ad esempio).