Дополнение Issuer Alternative Name позволяет указывать альтернативные имена издателя САС: адрес электронной почты, DNS-имя (имя Интернет-хоста), IP-адрес и унифицированный идентификатор ресурса URI (обычно уникальный адрес ресурса WWW URL). Включение этих имен не обязательно. Формально это дополнение может быть как критичным, так и некритичным. Но поскольку документ RFC 3280 требует, чтобы поле с именем издателя САС не было пустым, необходимо, чтобы это дополнение было помечено как некритичное.
Дополнение CRL Number выполняет функцию счетчика и содержит упорядоченную по возрастанию последовательность номеров всех списков САС, выпущенных данным издателем. Дополнение позволяет пользователям определять, когда происходит смена одного списка данного издателя другим, более свежим САС. В соответствии с рекомендациями X.509 это дополнение всегда помечается как некритичное. Документ RFC 3280 требует от издателей включения этого дополнения во все списки САС.
Дополнение CRL Scope формально стандартизовано версией 2000 года рекомендаций X.509 и обеспечивает гибкость классификации информации списков САС по разным признакам. Списки САС могут быть разбиты на множества различными способами: по типам сертификатов, кодам причин аннулирования, серийным номерам, идентификаторам ключей субъектов и поддеревьям имен. Это дополнение всегда помечается как критичное.
Дополнение Status Referrals формально стандартизовано версией 2000 года рекомендаций X.509 и обеспечивает две основные функции: во-первых, дает возможность динамически разбивать информацию об аннулировании (поскольку включает в свой синтаксис дополнение CRL Scope ); во-вторых, позволяет удостоверяющим центрам публиковать перечень текущих списков САС. Перечень помогает доверяющей стороне анализировать, владеет ли она последней информацией об аннулировании, и избегать лишней (без необходимости) пересылки списков САС. В этом дополнении также может публиковаться информация нового САС, прежде чем произойдет обновление более старого, но не просроченного списка. Это дополнение всегда помечается как критичное.
Дополнение CRL Stream Identifier формально стандартизовано версией 2000 года рекомендаций X.509 и используется для идентификации контекста, внутри которого номер САС является уникальным. Если каждому пункту распространения САС присваивается уникальный идентификатор, то его комбинация с номером САС позволяет, независимо от типа списка, уникально идентифицировать каждый САС, выпущенный данным УЦ. Это дополнение всегда помечается как некритичное.
Дополнение Ordered List формально стандартизовано версией 2000 года рекомендаций X.509 и характеризует упорядоченность САС по возрастанию серийных номеров или дат аннулирования. Если дополнение отсутствует, то порядок по умолчанию считается заданным локальной политикой УЦ. Это дополнение всегда помечается как некритичное.
Дополнение Delta Information формально стандартизовано версией 2000 года рекомендаций X.509 и указывает местонахождение дельта-списка САС и время выпуска следующего дельта-списка (последний атрибут необязателен). Это дополнение всегда помечается как некритичное.
Дополнение Issuing Distribution Point используется вместе с дополнением сертификата CRL Distribution Point и отражает названия пунктов распространения САС и типы сертификатов, содержащихся в списке (например, сертификаты только конечных пользователей, сертификаты только удостоверяющих центров и/или сертификаты, аннулированные по определенной причине ). Когда разрешено, дополнение указывает, что САС является косвенным списком. Один издатель САС может поддерживать несколько пунктов распространения САС. В качестве указателя пункта распространения САС могут использоваться доменные имена, IP-адреса или имена файлов на web-сервере.
Коды причины, относящиеся к пункту распространения САС, задаются в поле Only Some Reasons. Если это поле не используется, то пункт распространения САС содержит информацию об аннулировании сертификатов по всем причинам. Издатели САС могут использовать пункты распространения САС, чтобы различать списки, сформированные по причине компрометации ключа и по другим причинам. В этом случае один пункт распространения предназначается для информирования об аннулировании сертификатов с кодами причины аннулирования "компрометация ключа" или "компрометация УЦ", а другой пункт распространения - для случаев аннулирования по другим причинам.
При хранении САС в каталоге должна быть указана точка входа в каталог, соответствующая данному пункту распространения (она не всегда совпадает с точкой входа в каталог УЦ). Дополнение Issuing Distribution Point всегда помечается как критичное. Признак критичности гарантирует, что в процессе валидации вместо полного списка не будет случайно использован неполный САС. Если при валидации сертификата это дополнение не распознается, то дельта-список САС должен быть отвергнут.
Дополнение Delta CRL Indicator идентифицирует САС как дельта-список. Дельта-список САС фиксирует изменения с момента выпуска предыдущего САС. Вообще говоря, САС должен содержать все аннулированные сертификаты - такой список известен как базовый САС. Однако УЦ может формировать и дельта- списки аннулированных сертификатов. Базовый и дельта-список вместе содержат всю информацию об аннулировании сертификатов данного домена, известную на момент выпуска дельта-списка. Области охвата дельта-списка и базового списка должны совпадать.
Дельта- списки аннулированных сертификатов значительно быстрее обрабатываются приложениями, которые хранят информацию об аннулировании сертификатов в формате, отличном от структуры САС. Это позволяет приложениям вносить в локальные базы данных информацию об изменении списка, не затрагивая данные первоначально загруженного основного САС. Пока не все приложения, использующие сертификаты, управляют дельта-списками САС, хотя рекомендуется, чтобы издатели САС поддерживали оба списка, причем дополнение CRL Number в обоих списках должно иметь одно и то же значение (это подтверждает, что в них содержится одинаковая информация об аннулировании) [70].
Пользователь сертификата при помощи дельта-списков может в любой момент сформировать полный САС для конкретного домена одним из следующих способов:
1 найти текущий дельта-список САС для данного домена и скомбинировать его с изданным ранее базовым САС ;
2 найти текущий дельта-список САС для данного домена и скомбинировать его с локально сконструированным САС, содержание которого эквивалентно изданному ранее базовому САС.
Содержание сформированного списка не зависит от способа формирования. Чтобы гарантировать, что этот САС является полным, необходимо сравнить номера базового САС и базового списка, на который ссылается дельта-список САС.