Проверка пути сертификации

Проверки одной подписи конечного сертификата недостаточно: можно пропустить просроченного издателя, запрещённый путь CA, неверное назначение, ограничение имени или отозванный сертификат.

1. 01

   Проверка по RFC 5280 обрабатывает каждый сертификат в пути: проверяет подпись, срок действия, Basic Constraints, ограничения имён и правил, а также критические расширения.

   Граница применимости: Базовая проверка пути по RFC 5280.

2. 02

   Допустимый путь PKIX подтверждает сертификат относительно якоря доверия, а клиент TLS отдельно сопоставляет ожидаемое имя сервиса с subjectAltName.

   Граница применимости: Различие между допустимостью пути PKIX и проверкой имени сервиса TLS.

1. Проверьте весь путь.
2. Примените все критические ограничения.
3. Отдельно проверьте имя сервиса и состояние отзыва.

• Первичная спецификация

  Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile

  Internet Engineering Task Force · RFC 5280, May 2008

  Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.

  Открыть первоисточник ↗
• Первичная спецификация

  Service Identity in TLS

  Internet Engineering Task Force · RFC 9525, November 2023

  Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.

  Открыть первоисточник ↗