組織：中國互動出版網（http://www.china-pub.com/）
RFC文檔中文翻譯計劃（http://www.china-pub.com/compters/emook/aboutemook.htm）
E-mail：ouyang@china-pub.com
譯者：張海斌（netdebug    internetdebug@elong.com ）
譯文發布時間：2001-7-14
版權：本中文翻譯文檔版權歸中國互動出版網所有。可以用于非商業用途自由轉載，但必須
保留本文檔的翻譯及版權信息。


Network Working Group                                         R. Housley
Request for Comments: 2459                                        SPYRUS
Category: Standards Track                                        W. Ford
                                                                VeriSign
                                                                 W. Polk
                                                                    NIST
                                                                 D. Solo
                                                                Citicorp
                                                            January 1999


Internet X.509 公鑰基礎設施
證書和CRL簡介
（Internet X.509 Public Key Infrastructure
Certificate and CRL Profile）


備忘錄現狀
這份文檔需要Internet社區進一步討論和改進的Internet試驗標準協議。關于這份文檔
的標準化情況和狀態請參閱"Internet官方協議標準"（STD1）組織的當前版。這份備忘錄分
發不受限制。

版權聲明

   Copyright （C） The Internet Society （1999）。版權所有。



摘要
這份備忘錄描述了應用在Internet中的X.509 v3證書和X.509 v2CRL（證書撤銷列表），
以接近的綜述和模型引入介紹。X.509 v3證書格式隨著關于Internet名字（例如IP地址）的
格式和語義學附加信息被描繪。標準證書擴展被描繪和新的Internet-specific（特有擴展）被
定義。一套證書擴展被指定。同時X.509 v2 CRL格式被描繪和一套擴展被定義。一組X.509
證書路徑確認算法被描述。X.509證書中通用Internet公開密鑰密碼算法（即RSA，DSA和
Diffie-Hellman）的公開密鑰和數字簽名的格式在補充信息中提供描述。ASN.1模塊和例子
在附錄中提供。

約定：
   本文中的關鍵詞"MUST"， "MUST NOT"， "REQUIRED"， "SHALL"， "SHALL NOT"，   
"SHOULD"， "SHOULD NOT"， "RECOMMENDED"，  "MAY"， 以及"OPTIONAL"與
RFC 2119【3】中的描述的意義是相同的。

   請把對本文的意見郵寄給ietf-pkix@imc.org郵遞清單。

譯者的話
	閱讀RFC2459的讀者應該首先了解一下有關網絡安全方面的知識，例如密碼學知識（加
密、解密、簽名、驗證以及安全協議等），RFC2459文檔中出現的所有數據結構均采用ASN1
語法描述以及編碼與解碼（具體的實現也是這樣），所以讀者最好對ASN1語言比較熟悉。
RFC2459是RFC分類中的試驗性文檔，描述了Internet X.509公鑰基礎設施證書和CRL方
面的知識，文檔涉及的內容很多（文檔中很多內容是建議性的），具體的細節論述的比較少，
感興趣的讀者可以以此文檔為基礎指導性地去了解、學習、研究其相關內容的細節，因為這
篇文檔敘述的內容比較全面。
	譯者在翻譯這篇文檔時盡量保留原文的原意，采用直譯的方式，對晦澀難懂或者有指導
性的閱讀其他內容的地方均有譯者的注釋，希望對讀者有所幫助。由于翻譯的時間較短以及
譯者水平有限，譯文中一定會有很多不當及疏漏甚至錯誤的地方，希望讀者來信賜教，謝謝。


															張海斌

															2001-7-9

目 錄
1介紹	5
2要求和假定	6
2.1通訊和拓撲	6
2.2可以接受的標準（Acceptability Criteria）	6
2.3用戶期望	7
2.4行政管理人員期望	7
3 概覽	7
3.1 X.509 v3證書	8
3.2證書路徑和信任	9
3.3撤銷	10
3.4操作協議	11
3.5管理協議	11
4證書和證書擴展項概要	12
4.1基本證書字段	13
4.1.1證書字段	14
4.1.1.1 tbsCertificate	14
4.1.1.2 signatureAlgorithm	14
4.1.1.3 signatureValue	15
4.1.2 TBSCertificate	15
4.1.2.1版本	15
4.1.2.2序列號	15
4.1.2.3簽名	16
4.1.2.4發行者	16
4.1.2.5有效性	19
4.1.2.5.1 UTCTime	19
4.1.2.5.2 GeneralizedTime	19
4.1.2.6主題	20
4.1.2.7主題公開密鑰信息	20
4.1.2.8唯一標識符	21
4.1.2.9擴展	21
4.2標準證書擴展	21
4.2.1標準擴展	22
4.2.1.1權威密鑰標識符	22
4.2.1.2主題密鑰標識符	23
4.2.1.3 密鑰使用	24
4.2.1.4私有密鑰使用周期	25
4.2.1.5證書策略	26
4.2.1.6策略映射	28
4.2.1.7主題可替換名字	28
4.2.1.8發行者可替換名字	30
4.2.1.9主題目錄服務系統屬性	30
4.2.1.10基本約束	31
4.2.1.11名字約束	31
4.2.1.12策略約束	33
4.2.1.13擴大密鑰使用領域	33
4.2.1.14 CRL發布點	35
4.2.2私有Internet擴展	35
4.2.2.1權威信息存取	36
5 CRL和CRL擴展簡介	37
5.1 CRL字段	37
5.1.1 CertificateList字段	38
5.1.1.1 tbsCertList	38
5.1.1.2 signatureAlgorithm	39
5.1.1.3 signatureValue	39
5.1.2證書列表" To Be Signed"	39
5.1.2.1版本	39
5.1.2.2簽名	40
5.1.2.3發行者名字	40
5.1.2.4更新	40
5.1.2.5下次更新	40
5.1.2.6撤銷證書	41
5.1.2.7擴展	41
5.2 CRL擴展	41
5.2.1權威密鑰標識符	42
5.2.2發行者可替換名字	42
5.2.3 CRL Number	42
5.2.4 Delta CRL標識符	43
5.2.5發行發布點	43
5.3 CRL入口擴展	44
5.3.1理由代碼	44
5.3.2保持指示代碼	45
5.3.3無效日期	45
5.3.4證書發行者	46
6證書路徑批準	46
6.1基本路徑批準	47
6.2擴展路徑批準	50
7算法技術支持	50
7.1個單向哈希函數	50
7.1.1 MD2單向哈希函數	51
7.1.2 MD5單向哈希函數	51
7.1.3 SHA1單向哈希函數	51
7.2簽名算法	51
7.2.1 RSA簽名算法	52
7.2.2 DSA簽名算法	53
7.3主題公開密鑰算法	53
7.3.1 RSA密鑰	54
7.3.2 Diffie-Hellman密鑰交換密鑰	54
7.3.3 DSA簽名密鑰	56
8參考資料	57
9知識產權	59
10安全考慮	59
附錄A. PsuedoASN.1結構和OIDs	61
A.1 明示目標模塊（Explicitly Tagged Module），1988句法	61
A.2 隱式目標模塊（Implicitly Tagged Module）, 1988 句法	76
附錄 B. 1993 ASN.1 結構 and OIDs	83
B.1 明示目標模塊（Explicitly Tagged Module）, 1993 句法	83
B.2 隱示目標模塊（Implicitly Tagged Module）, 1993 句法	101
附錄 C. ASN.1 注解	109
附錄 D. 示例	110
D.1 證書	111
D.2 證書	114
D.3 RSA算法終端證書	117
D.4 證書撤銷列表	121
附錄 E. Authors' Addresses	122
附錄F.完整版權聲明	123
1介紹

   	本文作為Internet中X.509公開密鑰基礎設施（PKI）標準家族的一部分，同時也是獨
立的文件；另外這套標準的執行可能繼續同其他部分分開。

   	本文介紹了應用于Internet PKI證書和證書撤銷列表的格式和語義學。描述了在Internet
環境中證書路徑的處理，提供密碼學算法的編碼規則。最后，在附錄中以ASN.1語法形式
描述了本文出現的所有數據結構定義。

   本文描繪了能激起完善本文檔的激情和影響它的在部分2中（范圍）的假定。第3段引
見一個結構的模塊以及描繪它們和前一IETF和ISO/IECITU標準的關系。特別是本文IETF 
PEM描述和ISO/IEC ITU X.509文檔之間的關系。

   本文在部分4中介紹了X.509 v3證書；在部分5中介紹了X.509 v2證書撤銷列表（CRL）。
包括在Internet PKI中有效的ISO/IEC/ITU和ANSI擴展的定義。本文使用的是1988年定義
的摘要句法注釋1（ASN.1），而不是在1994年在ISO/IEC/ITU定義的語法標準。

  	本文還在部分6中說明了路徑確認過程。這些過程基于在ISOIEC/ITU上的定義，但是
頒發假定一個或多個自我簽名受信任的CA證書，只需要得到同樣的結果，而不需要制定具
體的處理過程。

本文第7部分描繪公開密鑰內容和數字簽名的確認和編碼的過程。不需要任何特別的密
碼學算法，然而需要能識別出（這些）算法，這些算法能被識別出并可編碼。

   	最后，四個附錄中提供了implementers（應用）幫助。附錄A包含所有的在本文說明以
內或者推薦的ASN.1結構。正如上面所說的，這些數據結構的描述應用1988的摘要語法注
釋1（ASN.1），而不是1994的句法。附錄B包含了同樣的信息，這些信息使用作為更新的
toolsets（工具集）的implementers（應用）服務的1994 ASN.1注釋。但是，附錄A采取時
間次序以防沖突。附錄C包含關于在本文說明以內使用ASN.1注釋的不那么熟悉特征的筆
記。附錄D含有證書和CRL的例子。

2要求和假定

本文的目標是提供幫助，以方便在那些Internet社區內希望利用X.509技術申請X.509
證書的使用。這些應用包括WWW、電子郵件、用戶證明和Ipsec等。為了減輕某些使用
X.509證書的障礙，本文定義了促進證書管理系統發展的輪廓；應用工具的發展；和按照可
由雙方共同制定的策略。

   	為了附加（額外）批準，保證或者操作上的要求符合專門的應用領域、或者環境的要求，
一些社區將需要補充、或許取代本文的（某些）描述。但是，為了基本應用，那些經常用的
屬性和共用的代表被定義出來，以便應用開發者能得到必要知識，而不管證書或者證書撤銷
列表（CRL）的發行者。

   	在信賴之前，一個證書用戶應該瀏覽證書策略，由證書權威機構（CA，以下統稱CA）
所產生的授權或者非拒絕服務，這些服務和一個特定證書中的公開密鑰聯系起來。為此目的，
這標準不定義合法捆綁的規則或者職責。

   	當補充授權和屬性管理工具出現時，例如屬性證書，它適合限制在一張證書內的授權的
屬性證明。這些（其它的、輔助的）管理工具可以提供表達很多屬性授權的更適合方法。

2.1通訊和拓撲

使用證書的用戶將在關于他們的通訊拓撲環境中，特別是安全電子郵件的用戶的寬闊范
圍中操作。本文支持那些沒有高帶寬，實時IP連接或者高連接可用（high connection 
availability）的可能性用戶。此外，本文允許防火墻或者（其他）過濾通訊設備的存在。

   	本文不假定X.500目錄服務系統的展開。本文不禁止X.500目錄服務系統的使用，但是
發布證書和證書撤銷列表（CRLs）的（其他）另一手段可以被使用。