SCVP

Серверный сертификатов проверки протокол ( SCVP ) — это интернет-протокол для определения пути между X.509 цифровым сертификатом и доверенным корнем ( обнаружение делегированного пути ) и проверки этого пути ( проверка делегированного пути ) в соответствии с конкретной проверкой. политика.

Обзор

Когда проверяющая сторона получает цифровой сертификат и ей необходимо решить, доверять ли этому сертификату, ей сначала необходимо определить, можно ли связать сертификат с доверенным сертификатом. Этот процесс может включать в себя связывание сертификата через несколько эмитентов, например, в следующем случае:

  Equifax Secure eBusiness CA-1
     ACME Co Certificate Authority
        Joe User

В настоящее время создание этой цепочки сертификатов выполняется приложением, получающим подписанное сообщение. Этот процесс называется «обнаружением пути», а результирующая цепочка называется «путем сертификации». Многие приложения Windows, такие как Outlook, используют интерфейс программирования криптографических приложений (CAPI) для обнаружения пути.

CAPI способен создавать пути сертификации с использованием любых сертификатов, установленных в хранилищах сертификатов Windows или предоставленных приложением проверяющей стороны. Например, сертификат Equifax CA устанавливается в Windows как доверенный сертификат. Если CAPI знает о сертификате CA ACME Co или если он включен в подписанное электронное письмо и предоставлен CAPI через Outlook, CAPI может создать указанный выше путь сертификации. Однако если CAPI не сможет найти сертификат ACME Co CA, у него не будет возможности проверить, является ли пользователь Joe доверенным.

SCVP предоставляет нам основанный на стандартах клиент-серверный протокол для решения этой проблемы с помощью Delegated Path Discovery или DPD. При использовании DPD проверяющая сторона запрашивает у сервера путь сертификации, соответствующий ее потребностям. Запрос клиента SCVP содержит сертификат, которому он пытается доверять, и набор доверенных сертификатов. Ответ сервера SCVP содержит набор сертификатов, составляющих действительный путь между рассматриваемым сертификатом и одним из доверенных сертификатов. Ответ также может содержать подтверждение статуса отзыва, например ответы OCSP , для сертификатов в пути.

После того как путь сертификации создан, его необходимо проверить. Алгоритм проверки путей сертификации определен в разделе 6 RFC 5280 (подписи, срок действия, ограничения имени, ограничения политики, базовые ограничения и т. д.). Опять же, это может быть сделано локально клиентом или сервером SCVP с проверкой делегированного пути .

SCVP поддерживает федеративные PKI, например, с центром сертификации моста.

Внешние ссылки

• RFC 5055 — протокол проверки сертификатов на основе сервера (SCVP) (предлагаемый стандарт от декабря 2007 г.)