SSCEP: Subject of our request does not match that of the returned Certificate!

Folgendes Szenario angenommen:

• Es wird eine Zertifikatbeantragung auf einem Linux-System (beispielsweise ein Thin Client) mittels SSCEP gegen einen Registrierungsdienst für Netzwerkgeräte (Network Device Enrollment Service, NDES) durchgeführt.
• Die Zertifikatbeantragung schlägt mit folgender Fehlermeldung fehl:

sscep: Subject of our request does not match that of the returned Certificate!

Der Registrierungsdienst für Netzwerkgeräte (Network Device Enrollment Service, NDES) bietet eine Möglichkeit, Geräten, welche nicht über eine Kennung im Active Directory verfügen (beispielsweise Netzwerkgeräte wie Router, Switches, Drucker, Thin Clients oder Smartphones und Tablets), Zertifikate von einer Zertifizierungsstelle zu beantragen. Für eine detailliertere Beschreibung siehe Artikel "Grundlagen Registrierungsdienst für Netzwerkgeräte (Network Device Enrollment Service, NDES)".

SSCEP vergleicht das Subject der eingereichten Zertifikatanforderung mit dem ausgestellten Zertifikat.

sscep: decrypting inner PKCS#7
sscep: PKCS#7 payload size: 2005 bytes
write_local_cert(): found 1 cert(s)
sscep: found certificate with
subject: '/OU=IT/O=ADCS Labor/CN=testsceprequest'
issuer: /C=DE/ST=Bavaria/L=Munich/O=ADCS Labor/OU=IT/CN=ADCS Labor Issuing CA 1
request_subject: '/O=ADCS Labor/OU=IT/CN=testsceprequest'
Subject of the returned certificate: /OU=IT/O=ADCS Labor/CN=testsceprequest
Subject of the request: /O=ADCS Labor/OU=IT/CN=testsceprequest
X509_NAME_cmp() workaround: strcmp request subject (/O=ADCS Labor/OU=IT/CN=testsceprequest) to cert subject (/OU=IT/O=ADCS Labor/CN=testsceprequest)
sscep: Subject of our request does not match that of the returned Certificate!
sscep: certificate written as local.crt

Tritt diese Meldung auf, wurde das Zertifikat erfolgreich von der Zertifizierungsstelle ausgestellt, das beantragte Subject wurde aber durch die Zertifizierungsstelle anhand der definierten Regeln verändert, sodass der Vergleich durch SSCEP fehlschlägt.

Mögliche Lösungen können sein:

• Die Reihenfolge der Relative Distinguished Names (RDNs) im Subject der Zertifikatanforderung anpassen, sodass diese den definierten Regeln entspricht (bevorzugte Lösung).
• Die Reihenfolge auf der Zertifizierungsstelle anpassen, sodass diese dem Subject in der Zertifikatanforderung entspricht.
• Die Zertifizierungsstelle konfigurieren, das beantragte Subject 1:1 zu übernehmen (nicht empfohlen).

Weiterführende Links:

• Erlaubte Relative Distinguished Names (RDNs) im Subject Distinguished Name (DN) ausgestellter Zertifikate
• Die Reihenfolge der Relative Distinguished Names (RDNs) im Subject Distinguished Name (DN) ausgestellter Zertifikate ändern
• Verwenden von nicht definierten Relative Distinguished Names (RDN) in ausgestellten Zertifikaten
• SSCEP für Linux (Debian Buster) installieren und Zertifikate über den Registrierungsdienst für Netzwerkgeräte (NDES) beantragen