SSL 證書將不再支援組織單位（OU）欄位的業界前景

現時公開 SSL 證書領域正圍繞 OU 欄位展開理性討論。OU 全名為 Organizational Unit（組織單位），現時其使用並無任何限制，不少 IT 專業人員認為該欄位常填寫的內容容易造成混淆。這是一個未經身份驗證的欄位，其使用方式很大機會很快受到嚴格限制，甚至被完全移除。

為何這麼多公開 SSL 證書用戶不支援使用 OU 欄位？要更好解答這個問題，我們首先需要回顧 OU 欄位過往的常見使用場景。

OU 欄位的設計初衷本身具備合理性

私有證書使用 OU 欄位不存在任何問題——實際上這是非常合理的用法——相關爭議完全集中在公開證書領域。

OU 欄位自 20 世紀 90 年代互聯網發展初期起，就一直是 SSL 證書的組成部分。它最初的設計定位是佔位欄位，供企業填入相關資訊，協助內部識別證書及其預期用途。企業經常在該欄位中填寫計費參考數據，方便財務團隊確認證書採購對應的成本中心。OU 欄位還可用於傳遞以下幾類資訊：

• 使用證書的組織內部部門

• 證書的付款方

• 證書所屬的項目

• 證書的預期用途

因此，OU 欄位中可能填入非常模糊、無明確標識的內容，比如「基礎設施」或者「UK」（表示由英國辦事處使用）。但這是一個完全未經身份驗證的欄位，實際上簽發管理員幾乎可以在其中填入任意內容，問題也由此產生。

OU 欄位引發的混淆風險

任由組織隨意透過 OU 欄位傳遞資訊可能帶來問題。舉個例子：假設某組織的客戶是美國國防部，那麼 OU 欄位中就可能顯示「Department of Defense（國防部）」。

為何這會成為問題？因為現時沒有統一標準規範 OU 欄位可填入的內容類型，很容易造成混淆。在上述例子中，OU 欄位裡的「Department of Defense」可能被誤認為是證書的所屬組織，但實際上它指代的只是申請證書的組織的客戶。

OU 欄位完全開放、非標準化的使用方式存在大量混淆隱患。在網絡安全領域，混淆絕對不是可取的狀態。

變革時機已至

在 SSL 發展早期，簽發證書的證書頒發機構（CA）數量遠少於現在。最初的設計設想是，營運的少量 CA 會經過瀏覽器嚴格的人工審核，因此可以高度信任 CA 會全程遵循最高安全規範開展操作。

在那個時期，網絡犯罪分子破壞證書完整性的攻擊手段遠沒有現在先進。如今網絡安全業界越來越多觀點認為，OU 欄位已經成為一種虛擬的「退化器官」，就像闌尾一樣——它確實存在，但實際上已無必要，也無法發揮太多實際作用，目前已有其他方式可以傳遞同類資訊。

距離CA/Browser Forum（CA/瀏覽器論壇） 禁止使用 OU 欄位只是時間問題。

做好不再使用 OU 欄位的準備

所有因自身特定需求使用 OU 欄位的機構，現在就應該為 OU 欄位的棄用做好準備。請及時尋找其他方式傳遞目前儲存在該欄位中的資訊，例如可校驗的值或身份標識屬性。

如果等到 OU 欄位正式停用才行動，未提前做好變更準備的企業很可能會面對一定的壓力、困惑，甚至陷入混亂。簡單來說，面對當前的網絡安全環境，OU 欄位已無法滿足維護完整性所需的精度標準。歡迎收聽 Root Causes 播客單集《OU 欄位的隱患》了解更多內容，此處.