Elektron imzo (ES). Malakali elektron imzo - ishlab chiqaruvchi tizim uchun OID axborot tizimlarining OID muammolari

1. Umumiy holat.

   Muayyan ma'lumotlarni taqdim etish usulini tanlash va sertifikat maydonlari tarkibiga qo'shimcha cheklovlar quyidagi printsiplarga asoslanadi:

   arizani ishlab chiqish bosqichida hujjatni talqin qilishning turli xil variantlarini istisno qilish uchun sertifikatdagi ma'lumotlarning taqdimoti juda sodda va aniq bo'lishi kerak;

   shu tarzda tuzilgan spetsifikatsiya elektron raqamli imzo kalitlari sertifikatlarini qo'llashning o'ziga xos sohasiga xos bo'lgan har qanday turdagi qo'shimcha ma'lumotlarni sertifikatga kiritish uchun zarur erkinlikni qoldirishi kerak;

   sertifikatda ma'lumotlarni taqdim etish uchun maydonlar va formatlar tarkibi xalqaro tavsiyalarga muvofiq bo'lishi kerak (2-bandga qarang), agar bu "Elektron imzo to'g'risida"gi qonun talablariga zid bo'lmasa;

   chiqarilgan sertifikatlar Internet PKIda qo'llaniladi va bunday tizimlar uchun ochiq va yopiq kalitlarning amal qilish muddati RFC 3280 (4.2.1.4) bo'yicha bir xil deb hisoblanadi va Private Key Usage Period atributi sertifikatga kiritilmasligi kerak.

2. Xalqaro tavsiyalar. Ushbu hujjat xalqaro tavsiyalarni hisobga olgan holda ishlab chiqilgan:
   • RFC 3280 (RFC 2459 ga yangilash) Internet X.509 ochiq kalitlar infratuzilmasi. Sertifikat va sertifikatni bekor qilish roʻyxati (CRL) profili.
   • RFC 3039 Internet X.509 ochiq kalitlar infratuzilmasi. Malakali sertifikat profili - bu RFC taklif qiladi Umumiy talablar foydalanish qonuniy ahamiyatga ega bo'lgan sertifikatlar sintaksisiga (tarkibiga).
3. Sertifikat maydonlarining tarkibi va maqsadi.

   IN ushbu bo'lim 2002-yil 10-yanvardagi “Elektron raqamli imzo to‘g‘risida”gi Qonunga mos keladigan ochiq kalit sertifikatining asosiy sohalari tavsifini beradi.

   Ushbu bo'limda ishlatiladigan tushunchalar, belgilar va atamalar RFC 3280 va RFC 3039 ga asoslangan bo'lib, ular o'z navbatida ITU-T Tavsiya X.509 3-versiyasiga asoslanadi. Bo'lim mazmuni ushbu hujjatlarning mazmunini ko'chirmaydi. , lekin faqat ERI to'g'risidagi qonunning 6-moddasida belgilangan ERI sertifikati tarkibiga qo'yiladigan talablarni amalga oshiradigan maydon sertifikatlaridan foydalanishning farqlari va xususiyatlarini ko'rsatadi.

   Ruscha satr qiymatlarini nazarda tutadigan barcha sertifikat maydonlari uchun universal UTF-8 kodlashdan foydalanish afzalroqdir (UTF8String turi).

   Ushbu bo'limning maqsadi ma'lum bir sertifikatlashtirish organining talablarini hisobga olmagan holda sertifikat maydonlarining tarkibi va maqsadini aniqlashdir. Sertifikatlash organining ishini tartibga soluvchi hujjatlar sertifikat maydonlarining tarkibini va CA va imzo kaliti sertifikatlari egalarini aniqlash uchun foydalaniladigan atributlar to'plamini cheklashi mumkin.

   Versiya
   Barcha berilgan sertifikatlar kerak 3 versiyasiga ega.

   Ishlab chiqarish raqami
   seriya raqami maydoni kerak tarkibida "... noyob ro'yxatga olish raqami imzo kaliti sertifikati" (6-modda, 1-band, 1-band). Sertifikat raqamining o'ziga xosligi ushbu sertifikatlash organi (CA) doirasida hurmat qilinishi kerak.

   Yaroqlilik
   Yaroqlilik maydoni kerak“... sertifikatlashtirish markazi reestrida joylashgan imzo kaliti sertifikatining amal qilish muddatining boshlanish va tugash sanalari”ni o‘z ichiga oladi (6-modda, 1-band, 1-band).

   SubjectPublicKeyInfo
   subjectPublicKeyInfo maydoni kerak“...elektron raqamli imzoning ochiq kaliti”ni o‘z ichiga oladi (6-modda, 1-band, 3-band).

   Emitent
   "EDS to'g'risida" Federal qonuni faqat jismoniy shaxslarga sertifikatlar berishni nazarda tutadi; Federal qonunning rasmiy talablariga rioya qilish uchun CA atributlarida va manba sertifikatlarida tashkilotning haqiqiy ma'lumotlarini ko'rsatish taklif etiladi, chunki bunday sertifikat vakolatli organga berilgan. shaxsga CA yoki Resurs va ko'rsatilgan ma'lumotlar "EDS to'g'risida" Federal qonun bilan ruxsat etilgan taxallus uchun sertifikat sifatida talqin qilinishi va ro'yxatdan o'tkazilishi kerak.
   Emitent maydoni kerak sertifikat bergan tashkilotni yagona aniqlang va tashkilotning rasmiy ro'yxatdan o'tgan nomini o'z ichiga oladi.
   Identifikatsiya qilish uchun quyidagi atributlardan foydalanish mumkin:

   mamlakat nomi	(id-6 da)
   shtat yoki viloyat nomi	(id-8 da)
   mahalliy nomi	(id-7 da)
   tashkilot nomi	(id-10 da)
   tashkilot nomi	(id-11 da)
   pochta manzili	(id-16 da)
   ishlab chiqarish raqami	(id-5 da)

   Emitent maydoni kerak"Imzo kaliti sertifikatini bergan sertifikatlashtirish markazining nomi va joylashgan joyi" ni tavsiflovchi atributlarni kiritish majburiydir (6-modda, 1-band, 5-band).

   Ism kerak OrganizationName atributida ko'rsatilgan. OrganizationName atributidan foydalanganda Balki

   Sertifikatlashtirish markazining joylashgan joyi Balki countryName, stateOrProvinceName, localityName atributlari to‘plami (ularning har biri ixtiyoriy) yoki bitta postalAddress atributi yordamida belgilangan. Yuqoridagi usullarning har qandayidan foydalanib, CA ning joylashuvi mavjud bo'lishi kerak sertifikatda.

   kerak o'z ichiga oladi yuridik manzil sertifikatlashtirish markazi. Ajratuvchi sifatida bo'sh joy ("0x20" belgisi) ishlatilishi kerak.

   Mavzu serialNumber maydoni atributi kerak nomlar to‘qnash kelganda ishlatiladi.

   Mavzu
   Sertifikat egasining DN (taniqlangan nomi) ni ifodalash uchun mumkin quyidagi atributlardan foydalaniladi:

   mamlakat nomi	(id-6 da)
   shtat yoki viloyat nomi	(id-8 da)
   mahalliy nomi	(id-7 da)
   tashkilot nomi	(id-10 da)
   tashkilot nomi	(id-11 da)
   sarlavha	(id-12 da)
   umumiy ism	(id-3 da)
   taxallus	(id-da 65)
   ishlab chiqarish raqami	(id-5 da)
   pochta manzili	(id-16 da)

   Federal qonunning rasmiy talablariga rioya qilish uchun CA va manbalar sertifikatlarida, atributlarda tashkilotning haqiqiy ma'lumotlarini ko'rsatish taklif etiladi, chunki bunday sertifikat vakolatli shaxsga berilgan. CA yoki Resurs va ko'rsatilgan ma'lumotlar "EDS to'g'risida" Federal qonun bilan ruxsat etilgan taxallus uchun sertifikat sifatida talqin qilinishi va ro'yxatdan o'tkazilishi kerak.

   Mavzu maydoni kerak quyidagi ma'lumotlarni o'z ichiga olishi kerak: "imzo kaliti sertifikati egasining familiyasi, ismi va otasining ismi yoki egasining taxallusi" (6-moddaning 1-bandi 2-bandi).

   Egasining familiyasi, ismi va otasining ismi kerak umumiyName atributida joylashgan va pasportda ko'rsatilganlarga to'g'ri keladi. Ajratuvchi sifatida bo'sh joy ("0x20" belgisi) ishlatilishi kerak.

   Egasining taxallusi kerak taxallus atributida mavjud.

   Ushbu atributlardan birining ishlatilishi boshqasidan foydalanishni istisno qiladi.

   Qolgan atributlar ixtiyoriy.

   "Agar kerak bo'lsa, lavozim (ushbu lavozim tashkil etilgan tashkilotning nomi va joylashgan joyi ko'rsatilgan holda) tasdiqlovchi hujjatlar asosida imzo kaliti sertifikatida ko'rsatiladi ..." (6-moddaning 2-bandi).

   Sertifikat egasi lavozimi kerak sarlavha atributida ko'rsatilgan. Atribut qiymati kerak sertifikat egasi uchun belgilangan lavozimni tasdiqlovchi hujjatlardagi yozuvga mos keladi.

   Sarlavha atributi, RFC 3039 ga muvofiq, kerak subyektDirectoryAttributes kengaytmasiga kiritilgan. Biroq, ushbu hujjat (va RFC 3280) uni mavzu maydoniga kiritish imkonini beradi.

   Sarlavha atributidan foydalanganda u majburiydir kerak ushbu lavozim tashkil etilgan tashkilotning nomi va joylashgan joyini tavsiflovchi atributlarni o'z ichiga oladi.

   Kompaniya nomi kerak OrganizationName atributida ko'rsatilgan. Atribut qiymati kerak ta'sis yoki boshqa shunga o'xshash hujjatlarda tashkilot nomining kiritilishi bilan mos keladi. OrganizationName atributidan foydalanilganda Balki OrganizationalUnitName atributidan ham foydalaniladi.

   Tashkilotning joylashgan joyi Balki countryName, stateOrProvinceName, localityName (ularning har biri ixtiyoriy) atributlari to‘plami yordamida yoki bitta postalAddress atributidan foydalangan holda belgilangan.

   PostalAddress atributi, agar foydalanilsa, kerak tashkilotning yuridik manzilini yoki imzo kaliti sertifikati egasining ro'yxatdan o'tish manzilini (jismoniy shaxs uchun) o'z ichiga oladi.

   Agar tashkilot nomi atributi mavjud boʻlsa, countryName, stateOrProvinceName, localityName va postalAddress atributlari kerak tashkilot joylashgan joy sifatida talqin qilinishi mumkin.

   Mavzu maydonining ixtiyoriy atributlari (mamlakatName, shtatYokiProvinceName, mahalliy nomi, tashkilot nomi, tashkilot birligi nomi, sarlavha, pochta manzili) mumkin SubjectDirectoryAttributes kengaytmasidagi mavzu maydoni o'rniga, agar CAning operatsion qoidalari bilan belgilangan bo'lsa, kiritilishi kerak (3.8.1-bandga qarang). Bu holda ular Kerak emas mavzuga kiritilishi va mumkin emas imzo kaliti sertifikatlari egalarini farqlash uchun foydalaniladi.

   serialNumber atributi kerak ismlar to'qnash kelganda sertifikatning mavzu maydoniga kiritilishi kerak. U ham Balki agar bu sertifikatlashtirish markazining qoidalari bilan belgilansa, kiritilishi kerak.

   serialNumber atributi Balki:

   • o'zboshimchalik bilan bo'lish (sertifikatlash organining o'zi tomonidan tayinlangan);
   • davlat (yoki boshqa) tashkilot tomonidan berilgan identifikatorni (raqamni) o'z ichiga oladi (masalan, TIN, pasport seriyasi va raqami, shaxsiy guvohnoma raqami va boshqalar).

   1. Kerakli kengaytmalar
      kerak quyidagi kengaytmalarni o'z ichiga oladi:

      • KeyUsage (id-ce 15)
      • Sertifikat siyosati (id-ce 32)

      1. KeyUsage
         Sertifikat raqamli imzoni tekshirish uchun ishlatilishi uchun keyUsage kengaytmasida kerak digitalSignature(0) va nonRepuduation(1) bitlari o'rnatilishi kerak.

         Sertifikat siyosati
         Sertifikat siyosati kengaytmasi sertifikatdan qonuniy ahamiyatga ega foydalanish doirasini aniqlash uchun moʻljallangan.
         “... ushbu ochiq kalitdan foydalaniladigan elektron raqamli imzo vositalarining nomi...” (6-moddaning 1-bandi 4-bandi), “...elektron hujjatning elektron hujjat bilan aloqasi to‘g‘risidagi ma’lumotlar. raqamli imzo yuridik ahamiyatga ega bo‘ladi...” (6-moddaning 1-bandi 6-bandi) va imzo kaliti sertifikatlarini olish va ulardan foydalanish tartibini tartibga soluvchi boshqa ma’lumotlar; bo'lishi mumkin ushbu kengaytmada ko'rsatilgan CPSuri (Sertifikat amaliyoti bayonoti URI) orqali mavjud.

   Ixtiyoriy kengaytmalar
   Imzo kaliti sertifikatiga kiritilgan mumkin boshqa kengaytmalarni o'z ichiga oladi. Sertifikatga kiritilganda EDS kaliti kengaytmalar uchun sertifikatda ko'rsatilgan ma'lumotlarning izchilligi va aniqligini ta'minlash kerak.
   Ushbu hujjat kengaytmalardan foydalanishni tartibga solmaydi, subjectDirectoryAttributes kengaytmasi (id-ce 9) bundan mustasno.

   1. SubjectDirectoryAttributes
      SubjectDirectoryAttributes kengaytmasi Balki mavzu sohasida ko'rsatilgan ma'lumotlarni to'ldiradigan atributlarni o'z ichiga oladi.
      RFC 3039 da sanab o'tilgan atributlarga qo'shimcha ravishda, subjectDirectoryAttributes kengaytmasida quyidagi atributlarni qo'llab-quvvatlash tavsiya etiladi:

      malaka	{-}
      mamlakat nomi	(id-6 da)
      shtat yoki viloyat nomi	(id-8 da)
      mahalliy nomi	(id-7 da)
      tashkilot nomi	(id-10 da)
      tashkilot nomi	(id-11 da)
      sarlavha	(id-12 da)
      pochta manzili	(id-16 da)

      "Agar kerak bo'lsa, tasdiqlovchi hujjatlarga asoslangan imzo kaliti sertifikatida ... imzo kaliti sertifikati egasining malakasi ko'rsatiladi" (6-modda, 2-band).

      EDS kaliti sertifikati egasining malakasi to'g'risidagi ma'lumotlar kerak malaka atributida ko'rsatilgan. Ushbu atribut xalqaro tavsiyalarda belgilanmagan (2-bandga qarang) va ro'yxatga olinishi kerak.

      Agar subjectDirectoryAttributes kengaytmasiga countryName, stateOrProvinceName, localityName, OrganizationName, OrganizationalUnitName, title, postalAddress atributlari kiritilgan bo‘lsa, ular Kerak emas mavzu maydoniga kiritilishi kerak.

      Imzo kaliti sertifikatining egasi haqidagi boshqa ma'lumotlarni saqlash uchun mumkin Sertifikatni kengaytirish siyosati va CA faoliyatini tartibga soluvchi boshqa hujjatlar bilan belgilangan cheklovlarga zid bo'lmagan boshqa (allaqachon ro'yxatdan o'tgan yoki ro'yxatga olinishi kerak) atributlardan foydalanish.

ASN1 ilovasi

2.5.4.5 seriya raqamidagi identifikator serialNumber ATTRIBUTE::= ( SINTAX BILAN PrintableString(SIZE (1..64)) TENGLIK MUVOFIQ QOIDA caseIgnoreMatch SUBSTRINGS MUVOS QOIDALAR caseIgnoreSubstringsMatch ID id-at-serialNumber )

(RFC 3039)
SerialNumber atributi turi mavjud bo'lganda, mavzu maydoni aks holda bir xil bo'lishi mumkin bo'lgan nomlarni farqlash uchun ishlatiladi. Ushbu atribut mavzu nomlarining o'ziga xosligini ta'minlashdan tashqari aniqlangan semantikaga ega emas. U CA tomonidan tayinlangan raqam yoki kodni yoki hukumat yoki fuqarolik organi tomonidan tayinlangan identifikatorni o'z ichiga olishi MUMKIN. Har qanday mavzu nomlari to'qnashuvini hal qilish uchun seriya raqami yetarli bo'lishini ta'minlash CA mas'uliyatidir.

2.5.4.3 - id-at-commonName

OID qiymati: 2.5.4.3

OID tavsifi: Umumiy nom atribut turi ob'ektning identifikatorini belgilaydi. Umumiy nom katalog nomi emas; bu (ehtimol noaniq) nom bo'lib, u orqali ob'ekt ba'zi cheklangan doirada (masalan, tashkilot) ma'lum bo'ladi va u bog'langan mamlakat yoki madaniyatning nomlash qoidalariga mos keladi.

CommonName ATTRIBUTE::= ( SYNTAX DirectoryString (ub-common-name) ID (id-at-commonName) BO'LGAN ismning QO'SHIMTI TIPI)

(RFC 3039: Malakali sertifikat profili)
OID qiymati: 2.5.4.65

OID qiymati: 2.5.29.17

OID tavsifi: id-ce-subjectAltName Ushbu kengaytma CA tomonidan sertifikatlangan ochiq kalit bilan bog'langan ob'ekt uchun har xil nom shakllaridan foydalangan holda bir yoki bir nechta muqobil nomlarni o'z ichiga oladi.

SubjectAltName EXTENSION::= ( id-ce-subjectAltName ORQALI TANILANGAN SYNTAX GeneralNames ) GeneralNames::= GeneralName OF SEQUENCE SIZE (1..MAX) GeneralName::= CHOICE ( otherName INSTANCE OF NAME-ISTANCE, dINSS2t ring, d85 ring, ( *) x400Address ORAaddress, directoryName Name, ediPartyName EDIPartyName, uniformResourceIdentifier IA5String, IPAddress OCTET STRING, registeredID OBJECT IDENTIFIER ) (*) – ixtiyoriy qator. BOSHQA NAME::= SEQUENCE (tur identifikatori OBYEKT identifikatori qiymati identifikator turi BO‘YICHA TANRILANGAN HAR QANDAY OShKOR)

OID qiymati: 2.5.4.16

OID tavsifi: Pochta manzili atributi turi pochta aloqasi organi tomonidan nom berilgan ob'ektga pochta xabarlarini jismoniy yetkazib berish uchun manzil ma'lumotlarini belgilaydi. Pochta manzili uchun atribut qiymati odatda CCITT Rec F.401 bo‘yicha MHS formatlanmagan pochta O/R manzilining 1-versiyasidan tanlangan atributlardan iborat bo‘ladi va har biri 30 belgidan iborat 6 qator, jumladan, pochta mamlakati nomi bilan chegaralanadi. Odatda bunday manzilda bo'lgan ma'lumotlar qabul qiluvchining nomi, ko'cha manzili, shahar, shtat yoki viloyat, pochta indeksi va, ehtimol, nomlangan ob'ektning o'ziga xos talablariga qarab, pochta qutisi raqamini o'z ichiga olishi mumkin.

Pochta manzili ATTRIBUTE::= ( SINTAKS BILAN Pochta manzili TENGLIK MUVOFIQ QOIDALARI CaseIgnoreListMatch SUBSTRINGS MOS QOIDA caseIgnoreListSubstringsMatch ID id-at-postalAddress ) Pochta manzili::= Posta manzili (SEQUENCE-IZub.Smail.Spostal-adressi) -string)

OID qiymati: 2.5.4.12

OID tavsifi: Title atributi turi tashkilot ichidagi ob'ektning belgilangan joylashuvi yoki funktsiyasini belgilaydi. Sarlavha uchun atribut qiymati string hisoblanadi.

Sarlavha ATTRIBUTE::= ( SINTAKSI BO'LGAN ism SUBTYPE DirectoryString (ub-title) ID id-at-title ) id-ce-certificatePolicies OBYEKT identifikatori::= ( id-ce 32 ) sertifikatSiyosat::= (SEQUENCE SIZE. MAX) OF PolicyInformation PolicyInformation::= SEQUENCE (policyIdentifier CertPolicyId, policyQualifiers SEQUENCE SIZE (1..MAX) OF PolicyQualifierInfo OPTIONAL ) CertPolicyId::= OBJECT IDENTIFIER (PolicyQualifierInQUENCE qualifierId) identifikator Siyosat TOMONIDAN ANIQLANGAN HAR QANDAY Kvalifier Id ) -- PolicyQualifierIds Internet siyosati kvalifikatsiyalari uchun id-qt OB'YEKT identifikatori::= ( id-pkix 2 ) id-qt-cps OBYEKT identifikatori::= ( id-qt 1 ) id-qt-unotice OBYEKT identifikatori::= (id ) PolicyQualifierId::= OBYEKT identifikatori (id-qt-cps | id-qt-unotice) Kvalifikatsiya::= CHOICE ( cPSuri CPuri, userNotice UserNotice ) CPSuri::= IA5String UserNotice::=Refextidentifikatori (ID-qt-cps | id-qt-unotice) ) NoticeReference::= SEQUENCE (tashkilot DisplayText, noticeNumbers SEQUENCE OF INTEGER ) DisplayText::= CHOICE ( visibleString VisibleString (SIZE (1..200)), bmpString BPString (SIZE (1.utfIZSSString) (1..2080) 1 ..200)))