Выявление в пути сертификации аннулированных сертификатов

Выявление в пути сертификации аннулированных сертификатов

В процессе валидации пути сертификации проверяется, не был ли аннулирован издателем хотя бы один сертификат из цепочки сертификатов [167]. С этой целью часто используются списки аннулированных сертификатов (см. лекцию 8). Выявление аннулированных сертификатов состоит из трех последовательных шагов:

1 инициализации ;

2 обработки САС;

3 завершения.

Каждый шаг выполняется один раз. В случае необходимости на втором шаге могут быть проверены несколько списков САС. Иногда анализируют не все коды причины аннулирования, а ограничиваются, например, только компрометацией ключа УЦ. Процедура обработки аннулирования, описываемая в данном разделе, предполагает проверку всех кодов причины аннулирования и требует наличия двух входных элементов: сертификата и индикатора дельта-списка САС. Комбинация серийного номера сертификата и имени издателя позволяет установить, находится ли данный сертификат в настоящий момент в определенном САС. Дополнение сертификата Basic Constraints (основные ограничения) информирует о принадлежности сертификата конечному субъекту или УЦ. Информация о пункте распространения САС и последней версии САС позволяет определить, должен ли применяться САС для выяснения статуса сертификата. Индикатор дельта-списка САС (см. лекцию 9) показывает, должны ли использоваться дельта-списки САС. Во время инициализации на базе входных параметров устанавливаются значения переменных состояния.

Переменная состояния маски причины принимает значения кодов причины аннулирования, полученных из списков и дельта-списков САС. Ее первоначальное значение - пустое множество. Коды причины могут отражать следующие ситуации: компрометацию ключа, компрометацию УЦ, истечение срока действия сертификата, прекращение операционной работы УЦ и др.

Переменная состояния статуса сертификата принимает одно из трех значений: "аннулирован" (с указанием причины аннулирования ), "не аннулирован" и "статус сертификата не определен". Первоначально переменная состояния статуса сертификата имеет значение "не аннулирован", оно не меняется до тех пор, пока в ходе проверки не обнаруживаются доказательства аннулирования.