Основы PKI
Подкладка, на которую опираются все последующие главы. Если вы запускали QTSP — пробегите. Если хоть раз удивлялись «валидному» сертификату, который не оказался валидным — читайте.
Что в главе
Заголовок раздела «Что в главе»- §1.1 — Зачем эта глава: позиционирование для практика.
- §1.2 — X.509-сертификат как структурированное утверждение (Subject / Issuer DN, Subject Public Key Info, пять несущих расширений: KeyUsage, ExtendedKeyUsage, SAN, BasicConstraints, AKI/SKI).
- §1.3 — Валидация цепочки (RFC 5280 §6 + ETSI EN 319 102-1): построение цепочки, валидация против trust anchor, «время интереса», long-term validation, PAdES-LTA.
- §1.4 — Отзыв: CRL vs OCSP vs OCSP-степлинг, матрица применимости, правило «захватывать состояние отзыва в момент подписи».
- §1.5 — Канонический пайплайн подписи: payload → каноническая кодировка → хеш → подпись → проверка; выбор формы (DER / Canonical XML / детерминированный CBOR / JCS).
- §1.6 — Типичные операционные ошибки: «TLS валидирует всё», soft-fail OCSP, trust-on-first-use, SAN-only thinking, не-захват OCSP в момент подписи, игнор pathLenConstraint, расхождение канонических форм.