База знаний о сертификатах

Текущие Правила для выпуска SSL сертификатов
Правила выпуска DV и OV SSL сертификатов
Правила выпуска EV SSL сертификатов
Правила выпуска CodeSign сертификатов
Официальные документы сертификатов RFC
Официальные документы DigiCert
Книга Знаний

Добро пожаловать в ТОЛКОВАНИЕ Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates, v.1.1

Текущая версия Правил выпуска SSL сертификатов >>>

Авторские права на перевод: Web Trust Ukraine

ЭТОТ ПЕРЕВОД НЕ ЯВЛЯЕТСЯ ДОСЛОВНЫМ И ПРЕДОСТАВЛЯЕТСЯ НА УСЛОВИЯХ "КАК ЕСТЬ". ВЫ МОЖЕТЕ ИСПОЛЬЗОВАТЬ ПЕРЕВОД ИСКЛЮЧИТЕЛЬНО НА СВОЙ СТРАХ И РИСК. ВЕБ ТРАСТ УКРАИНА ОТКРЫТО ОТКАЗЫВАЕТСЯ ОТ ЯВНЫХ И НЕЯВНЫХ ГАРАНТИЙ И УСЛОВИЙ ЛЮБОГО РОДА, ВКЛЮЧАЯ НЕЯВНЫЕ ГАРАНТИИ И УСЛОВИЯ ИСПОЛЬЗОВАНИЯ, ПРИГОДНОСТИ ДЛЯ КАКОЙ-ЛИБО ОПРЕДЕЛЕННОЙ ЦЕЛИ И ОТСУТСТВИЯ НАРУШЕНИЙ ПРАВ СОБСТВЕННОСТИ. ВЕБ ТРАСТ УКРАИНА НЕ НЕСЕТ ОТВЕТСТВЕННОСТИ ЗА ПРЯМОЙ, КОСВЕННЫЙ, СЛУЧАЙНЫЙ, СПЕЦИАЛЬНЫЙ, ОПОСРЕДОВАННЫЙ, ШТРАФНОЙ ИЛИ ИНОЙ УЩЕРБ, ВКЛЮЧАЯ УБЫТКИ, СВЯЗАННЫЕ С УПУЩЕННОЙ ВЫГОДОЙ, УЩЕРБОМ ДЕЛОВОЙ РЕПУТАЦИИ, ПОТЕРЕЙ ВОЗМОЖНОСТИ ИСПОЛЬЗОВАНИЯ, ПОТЕРЕЙ ДАННЫХ, И ДРУГИЕ ВИДЫ НЕМАТЕРИАЛЬНОГО УЩЕРБА ВЫЗВАННЫЕ ИСПОЛЬЗОВАНИЕМ ДАННОГО ПЕРЕВОДА

Оригінал документа Version 1.8.0 станом на 25.08.2021 знаходиться тут >>>

FAQ. Часто задаваемые вопросы о базовых требованиях к сертификатам SSL

1. Каковы базовые требования к форуму CA / Browser Forum (BR) и как они появились?
   Широкое использование Интернета для онлайн-транзакций, необходимость их обеспечения, распространение сертификационных полномочий (CA) и различные критерии, используемые браузерами для определения того, следует ли внедрять CAs в качестве доверительных привязок в программном обеспечении, вызвало критическую потребность в стандартную базовую линию для бизнес-операций SSL и процессов аутентификации для обеспечения дальнейшего успеха и жизнеспособности модели доверия. В течение нескольких лет ЦС и Браузеры работали над разработкой более строгих и унифицированных стандартов управления ЦС и выдачи SSL-сертификатов. Исходные требования 1.0 вступили в силу с 1 июля 2012 года. Они были разработаны для усиления безопасности процессов аутентификации и выдачи SSL. Требования включают проверку личности, содержание и профили сертификатов, безопасность CA, механизмы отзыва сертификатов, использование алгоритмов и размеров ключей, требования к аудиту, ответственность, конфиденциальность и конфиденциальность, а также делегирование полномочий.
2. Что входит в базовые требования?
   Примеры методов, описанных в базовых требованиях, включают в себя:
   • Дифференциацию сертификатов с подтвержденными сертификатами (DV) и сертификатами организационной проверки (OV), которые соответствуют требованиям базовой линии CA / B, практика, аналогичная сертификатам Extended Validation (EV).
   • Срок действия сертификатов, выданных после 1 июля 2012 года, не должен превышать 60 месяцев и выдается после 1 апреля 2015 года не должен превышать 39 месяцев.
   • Каждая запись для расширения альтернативного имени объекта (SAN) должна содержать полное доменное имя (FQDN) или IP-адрес сервера, принадлежащего организации.
   • Запрещаются сертификаты с полем SAN или Common Name (CN), содержащим зарезервированный IP-адрес или внутреннее имя сервера, и такие сертификаты перестают действовать после октября 2016 года.
3. Почему важны базовые требования?
   Базовые требования важны как для поставщиков услуг CA, так и для потребителей. Поставщики услуг CA будут иметь четкое представление о стандартах, которым они должны придерживаться при предоставлении услуг SSL и аутентификации. В свою очередь, аудиторы будут использовать критерии для оценки того, соответствует ли ЦС минимальным ожиданиям отрасли. ЦС с аудитом, который указывает на то, что он соответствует требованиям базовой линии, будет иметь меньший риск отклонения ведущими браузерами (то есть их сертификаты будут более широко распространены). Потребители будут уверены в определенном уровне безопасности, когда они столкнутся с сертификатами SSL, предлагаемыми центрами сертификации, которые приняли базовые требования CA / B. Базовые требования приведут к более частому использованию SSL для защиты сайтов с более сильным шифрованием и меньшим количеством уязвимостей, связанных с сертификатами.
4. С выпуском базовых требований, означает ли это, что все ЦС имеют одинаковые стандарты безопасности?
   Базовые требования обеспечивают минимальный стандарт для ЦС в отношении их операций SSL и бизнес-процессов. Тем не менее, ЦС рекомендуется выйти за рамки базовых стандартов, чтобы обеспечить строгие методы проверки подлинности и высокие стандарты, что повышает безопасность организаций и пользователей. Таким образом, пользователи и потребители, которые делятся и ведут переговоры в Интернете, будут иметь лучшую защиту и прозрачность на уровне доверия веб-сайтов, которые они посещают.
5. Как я могу узнать, соответствует ли сертификат базовым требованиям?
   В разделе 9.3.4 базовых требований указано, что ЦС должен раскрывать, что сертификаты, которые он выпускает, содержащий указанный идентификатор политики базовых требований, управляются в соответствии с этими Требованиями. ЦС должен включать заявление в свою политику сертификации или заявления о сертификации, которые соответствуют базовым требованиям, а критерии аудита всех основных схем аудита проверяют, выполняет ли ЦС в соответствии с такими раскрытыми практиками. ЦС может идентифицировать те сертификаты, выпущенные в соответствии с базовыми требованиями, используя идентификатор объекта политики сертификата CA / Browser Forum (CP OID). CP OID обычно находится на вкладке «Сведения», и можно попасть туда, нажав на замок и ссылку «Просмотреть сертификаты», а затем прокрутите вниз до Политики сертификатов. CP OID отображаются в сертификате, подобном приведенному ниже примеру Internet Explorer.
6. Как узнать базовый уровень требований CP OID для конкретного ЦС?
   CA может использовать один из общих CP OID, предоставляемых базовыми требованиями:
   • 2.23.140.1.2 (Сертификат, выданный в соответствии с базовыми требованиями)
   • 2.23.140.1.2.1 (Соответствует базовым требованиям - не указана идентификация лица)
   • 2.23.140.1.2.2 (Соответствует базовым требованиям - заявлена ​​идентификация организации)
   • 2.23.140.1.2.3 (Соответствует базовым требованиям - заявлена индивидуальная идентификация)
   • 2.23.140.1.3 (Соответствует базовым требованиям - для расширенной EV проверки)
   • 2.23.140.1.3.1 (Соответствует базовым требованиям - для .onion EV сертификатов)

   Большинство коммерческих центров сертификации поддерживают свои собственные идентификаторы CP OID. Если CA создал свои собственные собственные идентификаторы CP, когда утверждать соответствие BR, они будут перечислять их в своих CP или CPS, а CA / Browser Forum также ведет список этих OID в собственном CA / Browser Forum реестре или CA может использовать собственный OID:

   • 2.16.840.1.114412.1.2 Digicert DV
   • 2.16.840.1.114412.1.1 Digicert OV
   • 2.16.840.1.114412.2.1 Digicert EV
   • 2.16.840.1.113733.1.7.54 Thawte
   • 2.16.840.1.113733.1.7.54 GeoTrust