Дополнение Delta CRL Indicator всегда является критичным. Поскольку дельта-список не содержит полный перечень всех аннулированных сертификатов, срок действия которых не истек, признак критичности гарантирует, что в процессе валидации не будет случайно использован неполный САС вместо полного списка. Если при валидации сертификата это дополнение не распознается, то дельта-список САС должен быть отвергнут.
Дополнение Base Update формально стандартизовано версией 2000 года рекомендаций X.509 и используется в дельта-списках, которые содержат дополнение Delta CRL Indicator, для указания даты/времени обновления информации об аннулировании при помощи дельта-списка. Дополнение не указывается, если дельта-список САС содержит дополнение CRL Scope. Это дополнение всегда помечается как некритичное.
Дополнение Freshest CRL базового САС формально стандартизовано версией 2000 года рекомендаций X.509, содержит указатель на дельта-список, содержащий последнюю информацию об аннулированных сертификатах. Синтаксис этого дополнения совпадает с синтаксисом дополнения CRL Distribution Point. Документ RFC 3280 требует, чтобы область охвата дельта-списка совпадала с областью охвата САС, который содержит это дополнение. Дополнение Freshest CRL не включается в дельта-списки, поскольку не допускается, чтобы один дельта-список ссылался на другой дельта-список. В соответствии с рекомендациями X.509 это дополнение может быть как критичным, так и некритичным. Однако если оно помечено как критичное, то доверяющая сторона, прежде чем использовать сертификат, должна проверять последний САС. Для поддержки дельта-списков не требуется валидация сертификатов.
Дополнения точек входа в САС
Международный Союз по телекоммуникациям ввел несколько дополнений точек входа в САС X.509 v2 [78]. Они связывают с точками входа в САС некоторые дополнительные атрибуты. Каждое дополнение может быть помечено как критичное или некритичное. Валидация САС не может быть выполнена, если встречается нераспознанное критичное дополнение, однако некритичное дополнение может быть проигнорировано. Дополнения точек входа в САС приведены в табл. 8.3.
|Поле | Содержание |
|reasonCode
.
unspecified
keyCompromise
cACompromise
affiliationChanged
.
superseded
cessationOfOperation
certificateHold
removeFromCRL
| Код причины аннулирования (задается
перечисленными ниже значениями)
Неопределенная причина
Компрометация ключа конечного пользователя
Компрометация ключа УЦ
Изменение информации в сертификате в связи
со слиянием компаний
Замена сертификата
Прекращение работы
Приостановление действия сертификата
Удаление из САС
|
|holdInstructionCode | Код временного приостановления сертификата (идентификатор объекта OID) |
|certificateIssuer | Информация о пунктах распространения САС нескольких издателей для поддержки косвенных списков САС |
|invalidityDate | Дата утраты валидности сертификата |
Таблица 8.3.Дополнения точек входа в список аннулированных сертификатов X.509 v2
Дополнение Reason Code указывает причину аннулирования сертификатов. Издателем САС настоятельно рекомендуется включать в это дополнение значащие коды причин. В дополнении могут указываться следующие коды причин:
* 0 - неопределенная причина;
* 1 - компрометация ключа;
* 2 - компрометация УЦ;
* 3 - изменения в результате слияния компаний;
* 4 - замена сертификата;
* 5 - прекращение работы;
* 6 - приостановление сертификата и передача его на хранение;
* 8 - удаление сертификата из САС.
Дополнение Hold Instruction Code (код команды передачи сертификата на хранение) используется для временного приостановления сертификата. Оно содержит идентификатор зарегистрированной команды, указывающий действие, которое необходимо выполнить, если при обработке транзакции встречается сертификат, который должен быть приостановлен и передан на хранение. Документ RFC 3280 требует, чтобы поддерживалось несколько кодов команд, в том числе "позвонить издателю" и "отвергнуть сертификат". Это дополнение всегда помечается как некритичное. Оно имеет очень ограниченное применение, в частности, при выполнении финансовых транзакций. Например, если пользователь совершает покупку и при оплате предъявляет кассиру смарт-карту, на которой хранится секретный ключ его сертификата, то УЦ, выпустивший этот сертификат, может использовать команду "позвонить издателю", чтобы заставить кассира связаться с УЦ. Если сертификат пользователя был приостановлен, то при обращении к нему УЦ может потребовать от кассира конфисковать эту смарт-карту [70]. Приостановленный сертификат может быть в дальнейшем восстановлен или аннулирован.
Дополнение Certificate Issuer позволяет включать в САС информацию о пунктах распространения САС нескольких издателей, то есть поддерживать косвенные списки САС. Это дополнение идентифицирует издателя сертификата, связанного с определенной точкой входа в косвенный САС. Если дополнение первой точки входа в косвенный САС отсутствует, то по умолчанию издателем сертификата считается издатель САС. При отсутствии дополнения Certificate Issue последующей точки входа в САС издателем сертификата считается тот же субъект, который связан с предшествующей точкой входа в САС. Это дополнение всегда помечается как критичное. Если при валидации сертификата это дополнение игнорируется, то невозможно корректно установить соответствие между сертификатами и точками входа в САС.
Дополнение Invalidity Date (дата утраты валидности) содержит дату, когда стало известно или ожидается, что секретный ключ скомпрометирован или сертификат по какой-либо причине утратил валидность. Эта дата может предшествовать дате, указанной для точки входа в САС и являющейся датой, начиная с которой издатель САС выполнял аннулирование. Дата утраты валидности может предшествовать дате выпуска более ранних списков САС, но дата аннулирования не должна предшествовать дате выпуска этих списков. Дата утраты валидности выражается в обобщенном формате времени или в формате скоординированного универсального времени UTC.
Это дополнение всегда помечается как некритичное. Присутствие этого дополнения не влияет на принятие сертификата, однако информация о дате утраты валидности может использоваться при разрешении споров по поводу отказа субъекта аннулированного сертификата от своего участия в транзакции.