ГОСТ Р ИСО 17090-2—2010
7 Использование расширений сертификата
7.1 Общие сведения
Ниже приведены требования к использованию элементов полей расширения («extensions») сер
тификатов формата Х.509 версии 3 [5]. предъявляемые при решении задач здравоохранения. Болееде
тальная информация об этих полях приведена в IETF/RFC 3280 и IETF/RFC 3739.
7.2 Общие расширения
7.2.1 Поле идентификатора ключа ЦС «authorityKcyldentifior»
Это расширение должно идентифицировать открытый ключ, используемыйдля проверки подписи
сертификата. С его помощью можно отличать разные ключи, используемые одним ЦС (например, при
обновлении ключа).
Должен использоваться только элемент «keyldentifier» поля расширения «authorityKeyldenti-
tier».
Это расширение является некритическим. Если оно используется, рекомендуется объявлять его
обязательным.
7.2.2 Поле идентификатора ключа субъекта «subjectKeyldentifier»
Это расширение используетсядля идентификации открытогоключа, содержащегося е полесерти
фиката «subjectPublicKeylnfo».
В IETF/RFC 3280 приведены указания, каким образом элемент идентификатора может быть извле
чен из открытого ключа. Разрешен любой алгоритм извлечения при условии, что идентификатор будет
обладать свойством уникального представления ключа.
Это расширение является обязательным и некритическим для всех сертификатов конечных объ
ектов и всех сертификатов ЦС в цепочке доверия, построенной для системы здравоохранения.
7.2.3 Поле основного назначения ключа «keyUsage»
Это расширение должно идентифицировать основное назначение, ассоциированное с открытым
ключом сертификата. Использование единственной пары ключей и для шифрования, и для цифровой
подписи воспрещается. Использование ключа для шифрования не должно сочетаться ни с неоспори
мостью. ни с цифровой подписью (см. 6.1).
Это расширение должно быть обязательным. Рекомендуется специфицировать его как критичес
кое (как это указано е IETF/RFC 3280).
7.2.4 Поле срока использования секретного ключа «privateKeyUsagePeriod»
Использование этого расширения не рекомендуется.
По умолчанию в отсутствие этого расширения период действия секретного ключа совпадает со
сроком действия сертификата.
7.2.5 Поле политик сертификата «cortificatePolicies»
Расширение «certificatePolicies» должно содержать объектный идентификатор стандартизован
ной политики сертификатов ЦС в соответствии с ИСО 17090-3.
Это расширение является обязательным и может быть критическим или некритическим в зависи
мости от ПС.
7.2.6 Поле альтернативного наименования субъекта «subjectAltName»
Рекомендуется, чтобы это расширение присутствовало в сертификате и содержало адрес элек
тронной почты получателя сертификата, соответствующий спецификации ETF/RFC 822 (4]. Если в него
включен элемент наименования каталога «directoryName», то в целях обеспечения поддержки между
народного набора символов для отличительного наименования субъекта он должен иметь тип данных
UTF8String.
Это расширение является необязательным и некритическим.
7.2.7 Поле базовых ограничений «basicConstraints»
Расширение «basicConstraints» содержит булевское значение, применяемое для указания, мо
жет ли субъект действовать как ЦС. используя сертифицированный ключ для подписи сертификатов.
Если это значение равно TRUE, то может быть также указано ограничение длины пути сертификации.
Сертификаты ЦС должны включать в себя расширение «basicConstraints» со значением TRUE.
Чтобы удостовериться, является ли данное расширение критическим либо некритическим и обя
зательным либо необязательным, см. таблицу 3.
12