TLS: доверенная цепочка не заменяет совпадение имени сервиса
Сертификат может быть выдан доверенным центром и всё же не подходить адресу, который использует клиент. Проверка доверия к издателю и проверка идентичности сервиса решают разные задачи. Успех одной не отменяет необходимость другой.
RFC 9525 требует сопоставлять ожидаемую идентичность с подходящими identifiers сертификата. Для обычного DNS-имени используется DNS-ID в subjectAltName; строки Common Name не применяют как замену. При обращении к IP-адресу нужен соответствующий IP-ID, а не произвольная текстовая запись того же числа среди DNS-имён.
Wildcard ограничен полным крайним левым label. Например, шаблон для одного уровня поддоменов нельзя считать автоматическим разрешением любого числа вложенных уровней. Ожидаемое имя берут из контекста подключения, а не выбирают задним числом из того сертификата, который случайно прислал сервер.
В приёмке проверяют основной адрес, разрешённые aliases и отрицательный случай с другим именем. Для IP-подключения отдельно сверяют тип SAN. Отчёт должен показывать ожидаемую идентичность и конкретное совпадение. Отключение проверки имени ради успешного handshake меняет смысл результата и не подтверждает правильность сертификата для нужного сервиса.
Основание — Numbered IETF TLS and certificate lifecycle references; TLS1.3 RFC9846 July2026 replacing RFC8446, разделы RFC9525 Reference identifiers; subjectAltName; DNS-ID; IP-ID; wildcard matching. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использованы указанные RFC, включая базовую редакцию TLS 1.3 RFC 9846 от июля 2026 года, заменившую RFC 8446. Это разбор отдельных механизмов, а не полный профиль защиты. Реальные библиотека, сертификаты, trust store и настройки сервиса не проверялись; ключи, соединения и выпуск сертификатов не выполнялись.
