Читаем Инфраструктуры открытых ключей полностью

Инфраструктуры открытых ключей

Дельта- списки аннулированных сертификатов значительно быстрее обрабатываются приложениями, которые хранят информацию об аннулировании сертификатов в формате, отличном от структуры САС. Это позволяет приложениям вносить в локальные базы данных информацию об изменении списка, не затрагивая данные первоначально загруженного основного САС. Пока не все приложения, использующие сертификаты, управляют дельта-списками САС, хотя рекомендуется, чтобы издатели САС поддерживали оба списка, причем дополнение CRL Number в обоих списках должно иметь одно и то же значение (это подтверждает, что в них содержится одинаковая информация об аннулировании) [70].

Пользователь сертификата при помощи дельта-списков может в любой момент сформировать полный САС для конкретного домена одним из следующих способов:

1 найти текущий дельта-список САС для данного домена и скомбинировать его с изданным ранее базовым САС ;

2 найти текущий дельта-список САС для данного домена и скомбинировать его с локально сконструированным САС, содержание которого эквивалентно изданному ранее базовому САС.

Содержание сформированного списка не зависит от способа формирования. Чтобы гарантировать, что этот САС является полным, необходимо сравнить номера базового САС и базового списка, на который ссылается дельта-список САС.

Дополнение Delta CRL Indicator всегда является критичным. Поскольку дельта-список не содержит полный перечень всех аннулированных сертификатов, срок действия которых не истек, признак критичности гарантирует, что в процессе валидации не будет случайно использован неполный САС вместо полного списка. Если при валидации сертификата это дополнение не распознается, то дельта-список САС должен быть отвергнут.

Дополнение Base Update формально стандартизовано версией 2000 года рекомендаций X.509 и используется в дельта-списках, которые содержат дополнение Delta CRL Indicator, для указания даты/времени обновления информации об аннулировании при помощи дельта-списка. Дополнение не указывается, если дельта-список САС содержит дополнение CRL Scope. Это дополнение всегда помечается как некритичное.

Дополнение Freshest CRL базового САС формально стандартизовано версией 2000 года рекомендаций X.509, содержит указатель на дельта-список, содержащий последнюю информацию об аннулированных сертификатах. Синтаксис этого дополнения совпадает с синтаксисом дополнения CRL Distribution Point. Документ RFC 3280 требует, чтобы область охвата дельта-списка совпадала с областью охвата САС, который содержит это дополнение. Дополнение Freshest CRL не включается в дельта-списки, поскольку не допускается, чтобы один дельта-список ссылался на другой дельта-список. В соответствии с рекомендациями X.509 это дополнение может быть как критичным, так и некритичным. Однако если оно помечено как критичное, то доверяющая сторона, прежде чем использовать сертификат, должна проверять последний САС. Для поддержки дельта-списков не требуется валидация сертификатов.

<p>Дополнения точек входа в САС</p>

Международный Союз по телекоммуникациям ввел несколько дополнений точек входа в САС X.509 v2 [78]. Они связывают с точками входа в САС некоторые дополнительные атрибуты. Каждое дополнение может быть помечено как критичное или некритичное. Валидация САС не может быть выполнена, если встречается нераспознанное критичное дополнение, однако некритичное дополнение может быть проигнорировано. Дополнения точек входа в САС приведены в табл. 8.3.

|Поле | Содержание |

|reasonCode

unspecified

keyCompromise

cACompromise

affiliationChanged

superseded

cessationOfOperation

certificateHold

removeFromCRL

| Код причины аннулирования (задается

перечисленными ниже значениями)