多个组织单位OUASN.1编码差异

问题描述

我遇到了两种编码多个OU的不同方法。 一种是在与其他标识符（例如

）相同的级别上列出多个OU

SEQUENCE {
   SET {
     SEQUENCE {
       OBJECT IDENTIFIER commonName (2 5 4 3)
       PrintableString 'tester'
       }
     }
   SET {
     SEQUENCE {
       OBJECT IDENTIFIER organizationalUnitName (2 5 4 11)
       UTF8String 'department1'
       }
     }
   SET {
     SEQUENCE {
       OBJECT IDENTIFIER organizationalUnitName (2 5 4 11)
       UTF8String 'org1'
       }
     }
}

另一种方法是将OU作为以下列表嵌入

SEQUENCE {
   SET {
     SEQUENCE {
       OBJECT IDENTIFIER commonName (2 5 4 3)
       PrintableString 'tester'
       }
     }
   SET {
     SEQUENCE {
       OBJECT IDENTIFIER organizationalUnitName (2 5 4 11)
       PrintableString 'department1'
       }
     SEQUENCE {
       OBJECT IDENTIFIER organizationalUnitName (2 5 4 11)
       PrintableString 'org1'
       }
     }
}

某些工具会将第二种编码仅解码为1 OU，如下所示

organizationalUnitName    = department1 + organizationalUnitName    = org1

我只是想知道哪种方法是编码多个OU的更好或更通用的方法。

解决方法

在第一种编码中（SET仅嵌套一个SEQUENCE），RDN属性按照编码时的精确顺序进行打印/解码：

OU=org1,OU=department1,CN=tester

在第二个示例（SET嵌套多个SEQUENCE）中，单个SET内的RDN属性可以重新排序，并可能导致两条路径：

OU=org1,CN=tester
OU=department1,OU=org1,CN=tester

这两个路径不相同。这是因为SET是一个无序列表，应用程序可以根据需要自由选择它们的顺序。因此，我建议使用第一种编码，即SET中仅使用一个SEQUENCE。这样可以保证X.500名称在所有符合要求的实现中都具有相同的路径。

p.s。我刚刚使用Microsoft X.500解码器实现对它进行了测试。它不会重新设置SET中的多个SEQUENCE，并且不会按照编码RDN的确切顺序进行解码，即OU=org1,CN=tester

p.p.s。请记住，RDN应该从树的根到叶节点进行编码。您的编码是相反的，并可能导致不希望的字符串。