Роль CA и глубина цепочки не равны назначению serverAuth или clientAuth. Эти ограничения применяют в выбранном профиле, сохраняя отдельную проверку имени.
PKI и жизненный цикл сертификатов
Расширенное назначение ключа
Определение
Расширенное назначение ключа (EKU) — расширение сертификата X.509, которое перечисляет прикладные назначения ключа, например serverAuth или clientAuth. Если в сертификате есть и Key Usage, ключ применяют только так, как позволяют оба расширения сразу.
Также ищут: Extended Key Usage · EKU · extKeyUsage · Extended Key Usage extension
Зачем это знать
Сертификат должен подходить одновременно операции протокола и назначению приложения. Разрешение clientAuth также не выдаёт учётной записи доступ к любому заказу.
Связи из словаря
Карта понятия
Расширенное назначение ключа
Доказательная часть
Что подтверждено
EKU содержит один или несколько идентификаторов назначения ключа и может ограничивать сертификат, например ролями serverAuth или clientAuth.
Граница применимости: Расширение Extended Key Usage по RFC 5280.
Назначение clientAuth разрешает криптографическое использование сертификата клиентом TLS, но приложение отдельно сопоставляет учётную запись и определяет полномочия.
Граница применимости: Различие между назначением сертификата и прикладной авторизацией.
Если присутствуют Key Usage и EKU, сертификат используют только для назначения, совместимого с обоими расширениями. serverAuth не перекрывает запрет нужной операции в Key Usage.
Граница применимости: Совместная обработка расширений по RFC 5280, раздел 4.2.1.12; нужная криптографическая операция задаётся протоколом.
Приложение может требовать наличие EKU и конкретного назначения. Отсутствие EKU либо наличие anyExtendedKeyUsage не обязывает приложение принять сертификат для требуемого назначения.
Граница применимости: Правила использования EKU по RFC 5280; не вводит универсальный запрет сертификатов без EKU.
Даже после допустимого использования clientAuth и успешной аутентификации TLS запрос к чужому заказу может быть запрещён. Назначение сертификата не устанавливает права учётной записи на этот объект.
Граница применимости: Разделение сертификатного назначения, аутентификации TLS 1.3 и проверки прав на объект прикладного интерфейса.
Граница терминов
Не путать
EKU задаёт назначение ключа, идентичность TLS сопоставляет ожидаемое имя. Подходящий EKU не делает сертификат другого сервиса подходящим по имени.
Перед спецификацией
Что проверить
- Определите назначение приложения.
- Сверьте наличие и значения EKU.
- Проверьте нужную операцию Key Usage.
- Примените оба расширения совместно.
- Уточните политику отсутствующего EKU.
- Отдельно проверьте учётную запись и права на объект.
- Не принимайте serverAuth за отмену запрета нужной операции в Key Usage.
Открытые основания
Первоисточники
- RFC 8446: The Transport Layer Security Protocol Version 1.3
Определяет TLS 1.3, включая encrypted channel, PSK authentication, PSK identity и PSK+(EC)DHE modes.
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.