ГОСТ Р ИСО/МЭК 17826-2015
- построение сертификата корректно:
- подпись сертификата корректна;
- дата выдачи сертификата (срокдействия не истек):
- сертификат не был отозван (только для сертификатов PKI);
- цепь сертификатов построена правильно (включая сертификат стороны, участвующей в коммуникации, и
его выпускающий орган, вплоть до максимально достижимого уровня цепи, только для сертификатов PKI).
Если серверы и клиенты CDMI используют списки отозванных сертификатов, они должны использовать CRL
Х.509 версию 2. которая соответствует требованиям раздела 5 RFC 3280 (только для сертификатов PKI.)
Когда сертификаты PKI и самоподписанные сертификаты используются совместно в одном домене, важно
понимать, что уровень безопасности понижается до уровня, который обеспечивают самоподписанные сертифика
ты. Самоподписанные сертификаты сами по себе лишь предлагают основу для обеспечения конфиденциальности и
целостности при коммуникации. Единственная проверка идентичности самоподписанных сертификатов заключа
ется в процессах их принятия, как описано ниже.
А.5.2.2 Форматы сертификата
Все интерфейсы для конфигурирования сертификатов (в особенности импорт) должны поддерживать следу
ющие форматы сертификатов:
- сертификат Х.509 в кодировке DER. См. спецификацию и технические данные в ISO/IEC 9594-8:2008:
- сертификат Х.509 в кодировке Base 64 (РЕМ). См. гл. 6.8 в RFC2045;
- PKCS#12. См. спецификацию и технические данные в PKS12.
Все программы проверки сертификатов должны поддерживать локальные списки отозванных сертификатов,
при этом на каждый корневой сертификат должен приходиться по крайней мере один такой список. Необходима
поддержка как кодировок DER и base 64. но она может осуществляться программной поддержкой одного из форма
тов и конвертацией в него другого формата. OCSP и другие средства мгновенной онлайн проверки сертификатов
не обязательны, так как связь с выпускающим УЦ не может быть гарантирована.
А.5.2.3 Управление сертификатами
Все сертификаты и связанные с ними открытые ключи должны быть заменяемыми. Клиенты и серверы CDMI
должны обладать одной из следующих возможностей:
- импорт внешним образом сгенерированного сертификата и открытого ключа;
- генерирование и установка нового самоподписанного сертификата с соответствующим открытым ключом.
При использовании клиентами и серверами CDMI сертификатов PKI все реализации должны включать под
держку возможности импорта, усгановки/хранения и удаления корневых сертификатов УЦ, а также поддержку мно
жественных доверенных сертификатов УЦ. Сертификаты УЦ используются для проверки того, что данный серти
фикат подписан ключом приемлемого УЦ.
Все интерфейсы сертификатов должны поддерживать ограничения доступа, которые разрешают доступ
лишь администраторам с соответствующими правами. Администратор должен иметь возможность заблокировать
использование неопознанных сертификатов, см. А.5.2.1 и А.5.2.2.
Поддержка формата сертификата PKCS#7 опущена из списка требований. Этот формат в основном исполь
зуется для онлайн взаимодействий с УЦ. эта функциональность не требуется от всех приложений CDMI, кроме
того, существуют средства конвертации сертификатов PKCS#7 в и из других форматов.
А.5-2.4 Руководство по цифровым сертификатам для TLS
Для упрощения использования сертификатов, реализации CDMI должны включать конфигурируемые меха
низмы. позволяющие в любой момент форсировано использовать один из следующих взаимоисключающих ре
жимов для работы с конечными сертификатами (т.в., сертификатами, не используемыми УЦ для подписи друнгих
сертификатов):
- не поддающиеся проверке (самоподписанные) сертификаты конечных систем, в случае использования,
автоматически устанавливаются как доверенные: такие сертификаты должны определяться как корневые серти
фикаты, не принадлежащие УЦ, и не должны использоваться для проверки других сертификатов. Если для вв-
рификациии узла используется непосредственно сертификат УЦ. он должен быть отклонен. Для клиентов CDMI
следует реализовать при наличии технической возможности вариант этого режима, при котором запрашивается
решение пользователя.
П р и м е ч а н и е — Использование этого режима должно быть ограничено обучающим или подготовитель
ным периодом, когда устанавливаются соединения с другими облачными системами, требующими безопасного
соединения. Рекомендуется выход из этого режима по таймауту:
- не поддающиеся проверке (самоподписанные) сертификаты конечных систем могут быть импортированы
и установлены как доверенные вручную (подобно ручному импорту и установке корневого сертификата УЦ). но они
не добавляются автоматически, когда встречаются впервые. Для ручного импорта и установки сертификата могут
требоваться права администратора;
- этот режим работы считается нормальным. Все политики принятия сертификатов клиентами и серверами
CDMI должны быть настраиваемыми. Настраиваемый механизм определяет, как данная реализация CDMI об
рабатывает представленные сертификаты. В нормальном рабочем режиме серверы CDMI не должны принимать
сертификаты от неизвестных удостоверяющих центров (т.е.. когда корневые сертификаты УЦ не установлены).
154