ГОСТ ISO/TS 22600-3—2013
В поле издателя (issuer)передается идентификация органа по присвоению атрибутов, выпустившего данный
сертификат. Использование имени издателя исерийного номера специфичного сертификата открытого ключаобя
зательно, а использование общего имени (имен) необязательно.
В поле signature указывается криптографический алгоритм, использованныйдя электронной подписи серти
фиката атрибута.
В поле serlalNumoerпередаетсясерийный номер, уникально идентифицирующийсертификататрибутасреди
тех. за которых несетответственность его издатель.
В поле attrCertValidityPenod. имеющем формат Generalized!Irne. передается период времени, в течение кото
рого атрибут сертификата считаетсядействительным.
Поле атрибутов attributes содержит атрибуты, ассоциированные с владельцем сертификата и подлежащие
сертификации (например, привилегии).
Поле issuerUniquelD может быть использовано для идентификации издателя атрибута сертификата а случа
ях. когда имени издателя недостаточно.
Поле расширений extensions field позволяет включать в сертификат атрибута новые поля. Стандартные рас
ширения. описанные в стандарте ISO/IEC 9594-8, рассмотрены в приложении Б
А.3.1.3.2 Конфиденциальность сертификатов атрибута
В некоторых применениях может оказаться желательным защищать содержание сертификатов атрибута от
субъектов, отличающихся от владельца сертификата и доверяющей стороны (которая использует сертификат).
Это может быть сделаноспомощью одногоили несколькихсертификатов открытого ключа владельца сертификата
атрибута и установления аутентифицированного зашифрованного пути к доверяющей стороне (например, с
помощью протокола SSL). Этот путь может затем использоваться для конфиденциальной передачи сертифика тов
атрибута.
А.3.1.3.3 Пути сертификата атрибута
Как ив случаесертификатов открытого ключа, может предъявляться требование передачи пути сертификата
атрибута (например, для объявления привилегий в прикладном протоколе). Следующие типы данных, описанные
на языке ASN.1. могут использоваться для представления пути сертификата атрибута.
AttributeCertlficatlonPathSEQUENCE
<
attributeCertificate
acPath
AttnbuteCertiflcate.
SEQUENCE OF ACPatbData OPTIONAL }
ACPathDataSEQUENCE
<
certificate
attributeCertificate
(OJ Certificate OPTIONAL.
(1J AttributeCertificate OPTIONAL}
A.3.1.4 Сертификаты роли
Сертификат атрибута пользователя может содержать ссылку не другой сертификат атрибута, содержащий
дополнительные привилегии. Тем самым обеспечивается эффективный механизм реализации привилегирован
ных ролей.
Возможны следующие спецификации:
- любое число ролей может быть определено любым органом по присвоению атрибутов.
- собственно роль и члены роли могут быть определены и управляться отдельно, разными органами по при
своению атрибутов:
- привилегии, назначенныеданной роли, могут бытьпомещены еодин или несколькосертификатоватрибута:
- при желании члену роли может быть назначено только подмножество привилегий, ассоциированных с
ролью;
- членство в роли может бытьделегировано:
- ролям и членству может быть назначено любое требуемое время жизни.
Субъекту присваивается атрибут сертификата, содержащий атрибут, представляющий собой объявление,
что субъекту назначена определенная роль. Этот сертификат может иметь расширение, указывающее на другой
сертификат атрибута, который определяет эту роль (т. е. этот сертификат роли указывает в качестве владельца
роль и содержит списокпривилегий, присвоенных этой роли). Издатель сертификата субъекта может быть незави
симым от издателя сертификата роли, и каждый из этихсертификатов может управляться совершенно независимо
(например, могут истекать их сроки действия, сертификаты могут отзываться и т. д.).
Не все формы общего имени GeneralName пригодны для использования в качестве имен ролей. Наиболее
полезными способами представления имени роли являются объектные идентификаторы иотличительные имена.
А.3.1.5 Удостоверения
Удостоверение является предварительным условием назначения роли или представления на роль. Удосто
верения связаны с их средой (локализованы).
Удостоверения обычно ищут по типу (например, врач) или по типу и издателю (например, «врач, имеющий
лицензию Вирджинии»),
CredentialSEQUENCE
25