Профиль сертификата
Определение
Профиль сертификата — набор правил центра о том, какие поля, алгоритмы, срок действия и расширения допустимы в сертификатах одного класса. По профилю издатель сверяет запрос и отклоняет всё, что в него не укладывается.
Также ищут: Certificate profile · X.509 profile · issuance profile
Зачем это знать
Формально правильный CSR может запросить CA=true, лишнее имя или неподходящий EKU; профиль должен отклонить это до подписи.
Карта понятия
Что подтверждено
Профиль интернет-PKI задаёт смысл полей и расширений и требования к их обработке, а правила организации сужают их для конкретного сценария выпуска.
Граница применимости: Профиль X.509 и внутренние правила выпуска сертификатов.
CSR выражает запрос, но издатель выпускает сертификат только после проверки полномочий и соответствия настроенному профилю.
Граница применимости: Различие между запрошенными атрибутами и выпущенным сертификатом.
Что проверить
- Зафиксируйте допустимые имена SAN.
- Ограничьте CA, KU и EKU.
- Задайте срок действия и алгоритмы.
Первоисточники
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
- Recommendation for Key Management: Part 2 — Best Practices for Key Management Organizations
Описывает organizational key-management practices, CA/RA roles, PKI operations и certification path building.
Утверждения: 01
- PKCS #10: Certification Request Syntax Specification Version 1.7
Определяет структуру PKCS #10 CSR и подпись request information private key заявителя.
Утверждения: 02
- Automatic Certificate Management Environment
Определяет ACME account, order, authorization, challenge, finalize, certificate download и revocation workflow.
Утверждения: 02