CSR выражает запрос и подписан его ключом, сертификат выражает решение CA и подписан издателем. Одобрение содержимого не возникает из самой подписи CSR.
PKI и жизненный цикл сертификатов
Запрос на сертификат
Определение
Запрос на сертификат (CSR) — подписанная структура с именем субъекта, его открытым ключом и атрибутами, которую заявитель передаёт издателю. Её подписывают закрытым ключом из той же пары, и эта подпись подтверждает только сами данные запроса, но не право на запрошенные имена.
Также ищут: Certificate Signing Request · CSR · PKCS #10 request
Зачем это знать
Издателю нужны точные подписанные данные и отдельное решение о выпуске. Копия правильного CSR не подтверждает личность того, кто переслал файл, и не расширяет разрешённые имена.
Связи из словаря
Карта понятия
Доказательная часть
Что подтверждено
Структура CertificationRequestInfo в PKCS #10 содержит имя владельца, открытый ключ и атрибуты, а подпись запроса создаётся соответствующим закрытым ключом.
Граница применимости: Синтаксис запроса по RFC 2986.
Действительная подпись CSR подтверждает подпись данных запроса соответствующим закрытым ключом. Она сама не удостоверяет текущего предъявителя файла и не разрешает выпуск на указанные имена.
Граница применимости: PKCS #10 при корректной проверке безопасной подписи; свежесть предъявления, учётная запись и право на имена — отдельные проверки выпуска.
Подпись PKCS #10 относится к DER-кодированным данным CertificationRequestInfo: имени субъекта, открытому ключу и атрибутам. Проверяют именно эти подписанные данные, а не отдельно присланный текст с желаемыми именами.
Граница применимости: RFC 2986, раздел 4.2; корректная проверка подписи и безопасный алгоритм. Подпись запроса не означает одобрение его содержимого издателем.
Действительная подпись CSR подтверждает подпись данных запроса соответствующим закрытым ключом. Пересылка копии такого CSR не доказывает личность текущего предъявителя, его нынешний доступ к ключу или право на запрошенные имена.
Граница применимости: PKCS #10 не содержит отдельного подтверждения свежести текущего предъявления; проверки учётной записи и права на имена выполняет процедура выпуска.
Запрошенные имена и расширения не становятся разрешёнными из-за правильной подписи CSR. Издатель отдельно проверяет точные идентификаторы и допустимый профиль; запрос на дополнительное имя может быть отклонён.
Граница применимости: Сопоставление синтаксиса PKCS #10, решения выпуска ACME и профиля X.509; не задаёт универсальный способ подтверждения юридической личности.
Граница терминов
Не путать
PKCS #10 задаёт формат запроса; ACME задаёт учётную запись, заказ, авторизации и завершение выпуска. Подпись CSR не заменяет эти проверки.
Перед спецификацией
Что проверить
- Разберите CertificationRequestInfo.
- Проверьте подпись именно его DER-данных.
- Сверьте открытый ключ запроса.
- Отделите проверку подписи от свежести предъявления.
- Проверьте точные запрошенные идентификаторы.
- Примените правила учётной записи и профиля выпуска.
- Не приписывайте текущему предъявителю CSR личность или доступ к ключу по одной копии файла.
Открытые основания
Первоисточники
- Automatic Certificate Management Environment
Определяет ACME account, order, authorization, challenge, finalize, certificate download и revocation workflow.
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
Утверждения: 05