CN : Common Name
Gestion des clés
CN : Common Name. « Nom commun », par analogie avec le nom inscrit en gros sur l'étiquette d'un dossier, celui qu'on lit en premier et qu'on croit à tort suffisant.
Place dans le certificat : Le CN est un attribut du DN (nom distinctif) d'un certificat X.509, identifié par son OID, à côté du pays, de l'organisation ou de l'OU. On le retrouve dans le sujet comme dans l'émetteur, et dans les annuaires LDAP.
Nom d'hôte : Le CN a longtemps porté le nom du serveur, par exemple « /CN=localhost ». Les navigateurs modernes l'ignorent pour vérifier le nom et exigent l'extension SAN : un certificat qui ne mise que sur son CN est refusé, avec la ponctualité des administrations quand elles ont tort.
Certificats clients : En mTLS ou en authentification par certificat, le CN sert souvent à identifier l'utilisateur ou le service. Le faire correspondre à un compte exige de savoir quelle CA l'a émis, sinon n'importe quelle autorité acceptée peut attester n'importe quel nom.
Ce qui arrive si on s'en passe
Se fier au seul CN pour vérifier l'identité d'un serveur ne fonctionne plus : les navigateurs modernes exigent l'extension SAN et refusent un certificat qui n'a que son CN à présenter, d'où des pannes soudaines au renouvellement. Côté certificats clients, faire correspondre un CN à un compte sans vérifier quelle CA l'a émis permet à n'importe quelle autorité acceptée d'attester n'importe quel nom : il suffit d'obtenir un certificat au bon CN pour endosser l'identité d'un utilisateur ou d'un service. Le nom commun porte bien son nom : il est à la portée de tout le monde.
Explication de la marmotte
Un certificat numérique ressemble à une carte d'identité pour un site web ou un ordinateur. Il contient plusieurs cases : le pays, l'organisation, et une case « nom » qui indique à qui il appartient, par exemple l'adresse d'un site. Cette case s'appelle le nom commun. Autrefois, c'est elle que l'ordinateur regardait pour vérifier qu'il parlait au bon site. Aujourd'hui, les navigateurs lisent plutôt une autre rubrique, plus complète, qui peut lister plusieurs adresses. La case nom sert surtout à reconnaître le certificat d'un coup d'œil.
Où ce terme est utilisé
- Relier une clé à une identité: certificats et PKI (3 occurrences)
- GPO Active Directory : durcissement, abus et contrôle (2 occurrences)
- Principes de sécurité, identité et cryptographie utile au réseau (2 occurrences)
- Diagnostiquer les erreurs de validation TLS en production (1 occurrence)
- Extensions X.509 v3 Key Usage EKU et Basic Constraints (1 occurrence)
- Pourquoi un certificat diffère selon le navigateur (1 occurrence)