Ольга Полянская - Инфраструктуры открытых ключей

Дельта- списки аннулированных сертификатов значительно быстрее обрабатываются приложениями, которые хранят информацию об аннулировании сертификатов в формате, отличном от структуры САС . Это позволяет приложениям вносить в локальные базы данных информацию об изменении списка, не затрагивая данные первоначально загруженного основного САС . Пока не все приложения, использующие сертификаты, управляют дельта-списками САС , хотя рекомендуется, чтобы издатели САС поддерживали оба списка, причем дополнение CRL Number в обоих списках должно иметь одно и то же значение (это подтверждает, что в них содержится одинаковая информация об аннулировании) [70].

Пользователь сертификата при помощи дельта-списков может в любой момент сформировать полный САС для конкретного домена одним из следующих способов:

1найти текущий дельта-список САС для данного домена и скомбинировать его с изданным ранее базовым САС ;

2найти текущий дельта-список САС для данного домена и скомбинировать его с локально сконструированным САС , содержание которого эквивалентно изданному ранее базовому САС .

Содержание сформированного списка не зависит от способа формирования. Чтобы гарантировать, что этот САС является полным, необходимо сравнить номера базового САС и базового списка, на который ссылается дельта-список САС .

Дополнение Delta CRL Indicator всегда является критичным. Поскольку дельта-список не содержит полный перечень всех аннулированных сертификатов, срок действия которых не истек, признак критичности гарантирует, что в процессе валидации не будет случайно использован неполный САС вместо полного списка. Если при валидации сертификата это дополнение не распознается, то дельта-список САС должен быть отвергнут.

Дополнение Base Update формально стандартизовано версией 2000 года рекомендаций X.509 и используется в дельта-списках , которые содержат дополнение Delta CRL Indicator , для указания даты/времени обновления информации об аннулировании при помощи дельта-списка . Дополнение не указывается, если дельта-список САС содержит дополнение CRL Scope . Это дополнение всегда помечается как некритичное.

Дополнение Freshest CRL базового САС формально стандартизовано версией 2000 года рекомендаций X.509, содержит указатель на дельта-список , содержащий последнюю информацию об аннулированных сертификатах. Синтаксис этого дополнения совпадает с синтаксисом дополнения CRL Distribution Point . Документ RFC 3280 требует, чтобы область охвата дельта-списка совпадала с областью охвата САС , который содержит это дополнение. Дополнение Freshest CRL не включается в дельта-списки , поскольку не допускается, чтобы один дельта-список ссылался на другой дельта-список . В соответствии с рекомендациями X.509 это дополнение может быть как критичным, так и некритичным. Однако если оно помечено как критичное, то доверяющая сторона, прежде чем использовать сертификат, должна проверять последний САС . Для поддержки дельта-списков не требуется валидация сертификатов.

Международный Союз по телекоммуникациям ввел несколько дополнений точек входа в САС X.509 v2 [78]. Они связывают с точками входа в САС некоторые дополнительные атрибуты. Каждое дополнение может быть помечено как критичное или некритичное. Валидация САС не может быть выполнена, если встречается нераспознанное критичное дополнение, однако некритичное дополнение может быть проигнорировано. Дополнения точек входа в САС приведены в табл. 8.3.

| Поле| Содержание|

| reasonCode

.

unspecified

keyCompromise

cACompromise

affiliationChanged

.

superseded

cessationOfOperation

certificateHold

removeFromCRL

| Код причины аннулирования (задается

перечисленными ниже значениями)

Неопределенная причина

Компрометация ключа конечного пользователя

Компрометация ключа УЦ

Изменение информации в сертификате в связи

со слиянием компаний

Замена сертификата

Прекращение работы

Приостановление действия сертификата

Удаление из САС

|

| holdInstructionCode| Код временного приостановления сертификата (идентификатор объекта OID)|

| certificateIssuer| Информация о пунктах распространения САС нескольких издателей для поддержки косвенных списков САС |

| invalidityDate| Дата утраты валидности сертификата|

Таблица 8.3. Дополнения точек входа в список аннулированных сертификатов X.509 v2

Дополнение Reason Code указывает причину аннулирования сертификатов . Издателем САС настоятельно рекомендуется включать в это дополнение значащие коды причин. В дополнении могут указываться следующие коды причин:

*0 - неопределенная причина;

*1 - компрометация ключа;

*2 - компрометация УЦ;

*3 - изменения в результате слияния компаний;

*4 - замена сертификата;

*5 - прекращение работы;

*6 - приостановление сертификата и передача его на хранение;

*8 - удаление сертификата из САС .

Дополнение Hold Instruction Code (код команды передачи сертификата на хранение) используется для временного приостановления сертификата. Оно содержит идентификатор зарегистрированной команды, указывающий действие, которое необходимо выполнить, если при обработке транзакции встречается сертификат, который должен быть приостановлен и передан на хранение. Документ RFC 3280 требует, чтобы поддерживалось несколько кодов команд, в том числе "позвонить издателю" и "отвергнуть сертификат". Это дополнение всегда помечается как некритичное. Оно имеет очень ограниченное применение, в частности, при выполнении финансовых транзакций. Например, если пользователь совершает покупку и при оплате предъявляет кассиру смарт-карту, на которой хранится секретный ключ его сертификата, то УЦ, выпустивший этот сертификат, может использовать команду "позвонить издателю", чтобы заставить кассира связаться с УЦ. Если сертификат пользователя был приостановлен, то при обращении к нему УЦ может потребовать от кассира конфисковать эту смарт-карту [70]. Приостановленный сертификат может быть в дальнейшем восстановлен или аннулирован.

Дополнение Certificate Issuer позволяет включать в САС информацию о пунктах распространения САС нескольких издателей, то есть поддерживать косвенные списки САС . Это дополнение идентифицирует издателя сертификата, связанного с определенной точкой входа в косвенный САС . Если дополнение первой точки входа в косвенный САС отсутствует, то по умолчанию издателем сертификата считается издатель САС . При отсутствии дополнения Certificate Issue последующей точки входа в САС издателем сертификата считается тот же субъект, который связан с предшествующей точкой входа в САС . Это дополнение всегда помечается как критичное. Если при валидации сертификата это дополнение игнорируется, то невозможно корректно установить соответствие между сертификатами и точками входа в САС .