Лош подпис Подписът не е проверен. OID липсва. Лош подпис Неуспешна проверка на подписа Липсващ идентификатор на обект OID Идентификатор на обект oid

1. Общи положения.

   Изборът на метод за представяне на определени данни и допълнителни ограничения върху състава на полетата на сертификата се основава на следните принципи:

   представянето на данните в сертификата трябва да бъде изключително просто и недвусмислено, за да се изключат различни възможности за тълкуване на документа още на етапа на разработване на приложението;

   така изготвената спецификация следва да оставя необходимата свобода за включване в удостоверението на допълнителни данни от всякакъв вид, характерни за конкретната област на приложение на сертификатите за ключове за електронен подпис;

   съставът на полетата и форматите за представяне на данните в удостоверението трябва да отговарят на международните препоръки (виж т. 2), когато това не противоречи на изискванията на Закона за електронния подпис;

   издадените сертификати се използват в интернет PKI и периодът на валидност на публичните и частните ключове за такива системи се счита за еднакъв съгласно RFC 3280 (4.2.1.4) и атрибутът Период на използване на частния ключ не трябва да бъде включен в сертификата.

2. Международни препоръки. Този документ е разработен, като се вземат предвид международните препоръки:
   • RFC 3280 (актуализация до RFC 2459) Интернет X.509 публична ключова инфраструктура. Сертификат и профил на списъка за анулиране на сертификати (CRL).
   • RFC 3039 Интернет X.509 публична ключова инфраструктура. Профил на квалифициран сертификат - този RFC предлага Общи изискваниякъм синтаксиса (композицията) на сертификати, чието използване е правно значимо.
3. Състав и предназначение на полетата на сертификата.

   Този раздел предоставя описание на основните полета на сертификата за публичен ключ, който е в съответствие със Закона за електронния цифров подпис от 10 януари 2002 г.

   Концепциите, символите и терминологията, използвани в този раздел, се основават на RFC 3280 и RFC 3039, които от своя страна се основават на ITU-T Препоръка X.509 версия 3. Съдържанието на раздела не копира съдържанието на тези документи , а само посочва разликите и характеристиките на използването на сертификати за полета, които изпълняват изискванията за състава на EDS сертификата, посочени в член 6 от Закона за EDS.

   За всички полета на сертификата, които предполагат руски стойности на низове, за предпочитане е да използвате универсалното UTF-8 кодиране (тип UTF8String).

   Целта на този раздел е да определи състава и предназначението на полетата на сертификата, без да се вземат предвид изискванията на конкретен сертифициращ орган. Документите, регулиращи работата на сертифициращия орган, могат да ограничат състава на полетата на сертификата и набора от атрибути, използвани за идентифициране на CA и притежателите на сертификати ключове за подпис.

   Версия
   Всички издадени сертификати трябва даимат версия 3.

   Сериен номер
   поле serialNumber трябва дасъдържат „... уникален регистрационен номерсертификат за ключ за подпис" (член 6, клауза 1, параграф 1). Уникалността на номера на сертификата трябва да се спазва в рамките на този сертифициращ орган (CA).

   Валидност
   Поле за валидност трябва дасъдържат „... началната и крайната дата на срока на валидност на сертификата за ключ за подпис, намиращ се в регистъра на удостоверителния център“ (чл. 6, т. 1, ал. 1).

   SubjectPublicKeyInfo
   поле subjectPublicKeyInfo трябва дасъдържат „...публичния ключ на електронния цифров подпис“ (чл. 6, ал. 1, ал. 3).

   Издател
   Федералният закон „За EDS“ предвижда издаване на сертификати само на физически лица; тази разпоредба се прилага и за сертификати на самите CA и ресурсни сертификати. За да се спазят формалните изисквания на Федералния закон, се предлага да се посочи в атрибутите на CA и ресурсните сертификати истинската информация за организацията, като се има предвид, че такъв сертификат е издаден на упълномощен на физическо лице CA или Resource и посочената информация трябва да се интерпретират и регистрират като сертификат за псевдоним, което е разрешено от Федералния закон „За EDS“.
   Поле Издател трябва даидентифицират уникално организацията, издала сертификата, и съдържат официално регистрираното име на организацията.
   Следните атрибути могат да се използват за идентификация:

   име на държава	(ид-на 6)
   stateOrProvinceName	(ид-на 8)
   име на местност	(ид-на 7)
   Наименование на организацията	(ид-на 10)
   име на организационна единица	(ид-на 11)
   пощенски адрес	(ид-на 16)
   сериен номер	(id-на 5)

   Поле Издател трябва даЗадължително е включването на атрибути, описващи „името и местонахождението на удостоверителния център, издал сертификата за ключ за подпис“ (чл. 6, т. 1, ал. 5).

   Име трябва дапосочени в атрибута organizationName. Когато използвате атрибута organizationName Може би

   Местоположение на сертификационния център Може бизададен с помощта на набор от атрибути countryName, stateOrProvinceName, localityName (всеки от които е незадължителен) или единичен атрибут postalAddress. Използвайки някой от горните методи, местоположението на CA трябва да присъствав сертификата.

   трябва дасъдържат съдебен адрессертификационен център. Интервал (знак "0x20") трябва да се използва като разделител.

   Атрибут на полето serialNumber на тема трябва даизползва се, когато има конфликт между имена.

   Предмет
   За представяне на DN (отличително име) на собственика на сертификата могасе използват следните атрибути:

   име на държава	(ид-на 6)
   stateOrProvinceName	(ид-на 8)
   име на местност	(ид-на 7)
   Наименование на организацията	(ид-на 10)
   име на организационна единица	(ид-на 11)
   заглавие	(ид-на 12)
   често срещано име	(id-на 3)
   псевдоним	(ид-на 65)
   сериен номер	(id-на 5)
   пощенски адрес	(ид-на 16)

   За спазване на формалните изисквания на Федералния закон се предлага в сертификатите на УО и ресурси в атрибутите да се посочва реалната информация за организацията, като се има предвид, че такъв сертификат е издаден на упълномощено лице от CA или Resource и посочената информация трябва да се интерпретират и регистрират като сертификат за псевдоним, което е разрешено от Федералния закон „За EDS“.

   Предметно поле трябва датрябва да съдържа следната информация: „фамилия, собствено име и бащино име на собственика на сертификата за ключ за подпис или псевдоним на собственика“ (чл. 6, клауза 1, ал. 2).

   Фамилия, име и бащино име на собственика трябва дасъдържащи се в атрибута commonName и съвпадат с посочените в паспорта. Интервал (символ "0x20") трябва да се използва като разделител.

   Псевдоним на собственика трябва дасъдържащ се в атрибута псевдоним.

   Използването на един от тези атрибути изключва използването на другия.

   Останалите атрибути не са задължителни.

   „При необходимост длъжността (с посочване на името и местонахождението на организацията, в която е установена тази длъжност) се посочва в сертификата за ключ за подпис въз основа на оправдателни документи...“ (чл. 6, ал. 2).

   Позиция на притежател на сертификат трябва дапосочени в атрибута заглавие. Стойност на атрибута трябва дасъответстват на записа в документите, потвърждаващи длъжността, установена за притежателя на сертификата.

   Атрибутът заглавие, съгласно RFC 3039, трябва давключени в разширението subjectDirectoryAttributes. Въпреки това, този документ (и RFC 3280) позволява включването му в полето за тема.

   Когато използвате атрибута title, той е задължителен трябва давключват атрибути, описващи името и местоположението на организацията, в която е установена тази длъжност.

   Име на компания трябва дапосочени в атрибута organizationName. Стойност на атрибута трябва дасъвпада с вписването на името на организацията в учредителните или други еквивалентни документи. Когато използвате атрибута organizationName Може биизползва се и атрибута organizationalUnitName.

   Местоположение на организацията Може бизададен с помощта на набор от атрибути countryName, stateOrProvinceName, localityName (всеки от които е незадължителен) или с помощта на един атрибут postalAddress.

   Атрибутът postalAddress, ако се използва, трябва дасъдържа юридическия адрес на организацията или адреса на регистрация на собственика на сертификата за ключ за подпис (за физическо лице).

   Ако присъства атрибута organizationName, атрибутите countryName, stateOrProvinceName, localityName и postalAddress трябва дада се тълкува като местоположението на организацията.

   Незадължителни атрибути на полето за тема (countryName, stateOrProvinceName, localityName, organizationName, organizationalUnitName, title, postalAddress) могада бъдат включени, ако е определено от оперативните разпоредби на CA, вместо полето за предмет в разширението subjectDirectoryAttributes (вижте клауза 3.8.1). В този случай те не трябвада бъдат включени в предмета и не могасе използва за разграничаване на собствениците на подписващи сертификати за ключове.

   атрибут serialNumber трябва дада бъдат включени в полето за тема на сертификата, когато има конфликт на име. Той също Може бида бъдат включени, ако това е определено от разпоредбите на сертифициращия център.

   атрибут serialNumber Може би:

   • да бъдат произволни (възложени от самия сертифициращ орган);
   • съдържат идентификатор (номер), определен от държавна (или друга) организация (например TIN, серия и номер на паспорт, номер на лична карта и др.).

   1. Необходими разширения
      трябва давключва следните разширения:

      • KeyUsage (id-ce 15)
      • CertificatePolicies (id-ce 32)

      1. KeyUsage
         За да може сертификатът да се използва за проверка на цифров подпис, в разширението keyUsage трябва датрябва да бъдат зададени битовете digitalSignature(0) и nonRepuduation(1).

         CertificatePolicies
         Разширението certificatePolicies е предназначено да дефинира обхвата на правно значимото използване на сертификат.
         „... името на средствата за цифров подпис, с които се използва този публичен ключ...“ (чл. 6, клауза 1, ал. 4), „... информация за връзката, в която електронен документ с електронен цифров подписще има правно значение...“ (чл. 6, т. 1, ал. 6) и други данни, регламентиращи процедурата за получаване и използване на сертификати за ключове за подпис, може да бъдедостъпно чрез CPSuri (Certificate Practice Statement URI), посочен в това разширение.

   Опционални разширения
   Включен в сертификата за ключ за подписване могавключват всякакви други разширения. При включване на разширения в сертификата за ключ за електронен подпис е необходимо да се осигури последователност и недвусмисленост на информацията, представена в сертификата.
   Този документ не регулира използването на разширения, с изключение на разширението subjectDirectoryAttributes (id-ce 9).

   1. SubjectDirectoryAttributes
      разширение subjectDirectoryAttributes Може бисъдържат атрибути, които допълват информацията, предоставена в полето за тема.
      В допълнение към атрибутите, изброени в RFC 3039, се препоръчва следните атрибути да се поддържат в разширението subjectDirectoryAttributes:

      квалификация	{-}
      име на държава	(ид-на 6)
      stateOrProvinceName	(ид-на 8)
      име на местност	(ид-на 7)
      Наименование на организацията	(ид-на 10)
      име на организационна единица	(ид-на 11)
      заглавие	(ид-на 12)
      пощенски адрес	(ид-на 16)

      „Ако е необходимо, сертификатът за ключ за подпис, въз основа на подкрепящи документи, посочва... квалификацията на собственика на сертификата за ключ за подпис“ (член 6, клауза 2).

      Данни за квалификацията на собственика на сертификата за ключ EDS трябва дапосочени в квалификационния атрибут. Този атрибут не е дефиниран в международни препоръки (вижте точка 2) и подлежи на регистрация.

      Ако атрибутите countryName, stateOrProvinceName, localityName, organizationName, organizationalUnitName, title, postalAddress са включени в разширението subjectDirectoryAttributes, те не трябвада бъдат включени в тематичното поле.

      За съхраняване на друга информация за собственика на сертификата за ключ за подписване могаизползвайте други (вече регистрирани или подлежащи на регистрация) атрибути, които не противоречат на ограниченията, наложени от разширението на сертификатаPolicies и други документи, регулиращи работата на УО.

Приложение ASN1

2.5.4.5 id-at-serialNumber serialNumber ATTRIBUTE::= ( WITH SYNTAX PrintableString(SIZE (1..64)) EQUALITY MATCHING RULE caseIgnoreMatch SUBSTRINGS MATCHING RULE caseIgnoreSubstringsMatch ID id-at-serialNumber )

(RFC 3039)
Типът атрибут serialNumber, когато присъства, СЛЕДВА да се използва за разграничаване между имена, където полето за тема иначе би било идентично. Този атрибут няма дефинирана семантика, освен да гарантира уникалността на имената на субектите. МОЖЕ да съдържа номер или код, присвоен от CA, или идентификатор, присвоен от правителство или граждански орган. Отговорност на CA е да гарантира, че serialNumber е достатъчен за разрешаване на всякакви сблъсъци с имена на обекти.

2.5.4.3 - id-at-commonName

OID стойност: 2.5.4.3

OID описание:Типът атрибут на общото име указва идентификатор на обект. Общото име не е име на директория; това е (вероятно двусмислено) име, с което обектът е общоизвестен в някакъв ограничен обхват (като организация) и съответства на конвенциите за именуване на страната или културата, с която е свързан.

CommonName ATTRIBUTE::= ( ПОДТИП НА име СЪС СИНТАКСИС DirectoryString (ub-common-name) ID (id-at-commonName) )

(RFC 3039: Профил на квалифициран сертификат)
OID стойност: 2.5.4.65

OID стойност: 2.5.29.17

OID описание: id-ce-subjectAltName Това разширение съдържа едно или повече алтернативни имена, като се използва някоя от различните форми на имена за обекта, който е обвързан от CA със сертифицирания публичен ключ.

SubjectAltName РАЗШИРЕНИЕ::= ( СИНТАКСИЧ GeneralNames ИДЕНТИФИЦИРАН ОТ id-ce-subjectAltName ) GeneralNames::= РАЗМЕР НА ПОСЛЕДОВАТЕЛНОСТ (1..МАКС.) ОТ GeneralName GeneralName::= ИЗБОР ( otherName ЕКЗЕМПЛЯР НА ДРУГО-ИМЕ, rfc822Name IA5String, dNSName IA5String, ( *) x400Address ORAddress, directoryName Name, ediPartyName EDIPartyName, uniformResourceIdentifier IA5String, IPAddress OCTET STRING, registeredID OBJECT IDENTIFIER ) (*) – произволен низ. OTHER-NAME::= SEQUENCE ( type-id OBJECT IDENTIFIER value EXPLICIT ANY DEFINED BY type-id )

OID стойност: 2.5.4.16

OID описание:Типът атрибут "Пощенски адрес" указва адресната информация за физическата доставка на пощенски съобщения от пощенския орган до посочения обект. Стойността на атрибут за пощенски адрес обикновено ще бъде съставена от избрани атрибути от версия 1 на MHS неформатиран пощенски O/R адрес съгласно CCITT Rec F.401 и ограничена до 6 реда от по 30 знака всеки, включително име на пощенска държава. Обикновено информацията, съдържаща се в такъв адрес, може да включва името на получателя, улица, град, щат или провинция, пощенски код и евентуално номер на пощенска кутия в зависимост от специфичните изисквания на посочения обект.

PostalAddress АТРИБУТ::= ( С СИНТАКСИЧНО ПРАВИЛО ЗА СЪОТВЕТСТВИЕ НА PostalAddress caseIgnoreListMatch SUBSTRINGS ПРАВИЛО ЗА СЪОТВЕТСТВИЕ caseIgnoreListSubstringsMatch ID id-at-postalAddress ) PostalAddress::= РАЗМЕР НА ПОСЛЕДОВАТЕЛНОСТТА (1..ub-postal-address) OF DirectoryString (ub -пощенски низ)

OID стойност: 2.5.4.12

OID описание:Типът атрибут Title указва определената позиция или функция на обекта в организацията. Стойността на атрибут за Title е низ.

Заглавие АТРИБУТ::= ( ПОДТИП НА име СЪС СИНТАКСИС DirectoryString (ub-title) ID id-at-title ) id-ce-certificatePolicies ОБЕКТЕН ИДЕНТИФИКАТОР::= ( id-ce 32 ) certificatePolicies::= РАЗМЕР НА ПОСЛЕДОВАТЕЛНОСТ (1.. MAX) OF PolicyInformation PolicyInformation::= SEQUENCE ( policyIdentifier CertPolicyId, policyQualifiers SEQUENCE SIZE (1..MAX) OF PolicyQualifierInfo OPTIONAL ) CertPolicyId::= ОБЕКТЕН ИДЕНТИФИКАТОР PolicyQualifierInfo::= SEQUENCE ( policyQualifierId PolicyQualifi erId, квалификатор ВСЕКИ ДЕФИНИРАН ОТ policyQualifier Id ) -- policyQualifierIds за квалификатори на интернет правила id-qt ОБЕКТЕН ИДЕНТИФИКАТОР::= ( id-pkix 2 ) id-qt-cps ОБЕКТЕН ИДЕНТИФИКАТОР::= ( id-qt 1 ) id-qt-unotice ОБЕКТЕН ИДЕНТИФИКАТОР::= ( id-qt 2 ). ) NoticeReference::= SEQUENCE ( организация DisplayText, noticeNumbers SEQUENCE OF INTEGER ) DisplayText::= CHOICE ( visibleString VisibleString (SIZE (1..200)), bmpString BMPString (SIZE (1..200)), utf8String UTF8String (SIZE ( 1 ..200))