В этом документе подробно описаны тринадцать специфичных для библиотек записей, касающихся реализации ограничений имен X.509. Эти записи подчеркивают несоответствия в том, как различные TLS-библиотеки обрабатывают эти ограничения, что приводит к ситуациям, когда имя, принятое одной библиотекой, может быть отклонено другой. Некоторые из этих проблем были решены, в то время как другие все еще находятся на рассмотрении или не были признаны уязвимостями безопасности. Ограничения имен предназначены для ограничения центров сертификации (ЦС) в пределах определенного пространства имен. Существуют расхождения в обработке чувствительности к регистру DNS-имен и сопоставлении с подстановочными знаками, при этом библиотеки, такие как GnuTLS и Go, демонстрируют различное поведение. Было обнаружено, что pyca/cryptography проверяет ограничения в отношении SAN, но не в отношении запрашиваемого имени однорангового узла. Библиотеки также различаются в том, как они обрабатывают IPv4 и IPv6-mapped IPv6 формы для ограничений IP-адресов. Обработка URI представляет дальнейшие несоответствия, особенно в отношении извлечения хоста из URI SAN. AWS-LC и s2n-tls сообщили о проблемах с резервным копированием общего имени с подстановочными знаками, когда конечные сертификаты не имеют SAN. Mbed TLS в определенной конфигурации не применяет некритические ограничения имен, в отличие от требований RFC 5280. Влияние этих несоответствий актуально только тогда, когда злоумышленник может подделать доверенную подпись и использовать путь проверки для авторизации. CERT/CC координирует усилия по устранению последствий с затронутыми проектами, при этом по каждой библиотеке сообщается о различном статусе. Операторам, полагающимся на ограничения имен, рекомендуется проверить поведение своих библиотек и отдавать приоритет явным SAN и политикам выдачи.