cnpkcs10v1_7(认证请求语法标准)

组织：PKI 论坛（）PKCS/PKIX 中文翻译计划论坛电子邮件译者：sql2000 (付少庆) （）版权：本中文翻译文档版权归PKI论坛的注册用户所共有。

可以用于非商业用途自由转载，但必须保留本文档的翻译及版权信息。

如用于商业目的，所得利润需用于PKI 论坛的发展。

更改记录* 修改类型分为C- 产生一- 附加的M- 修正D- 划除PKCS#10 认证请求语法标准（PKCS#10 : Certification Request Syntax Standard）RSA 实验室2000 年 5 月 26*目录：1.绪论........................................................................................................ 错误!未定义书签。

2.定义与符号............................................................................................ 错误!未定义书签。

定义................................................................................................... 错误!未定义书签。

符号................................................................................................... 错误!未定义书签。

3．概述..................................................................................................... 错误!未定义书签。

4．认证请求语法..................................................................................... 错误!未定义书签。

CertificationRequestInfo ................................................... 错误!未定义书签。

CertificationRequest .......................................................... 错误!未定义书签。

A 模块.................................................................................................. 错误!未定义书签。

B 知识产权事项.................................................................................... 错误!未定义书签。

C 修订历史............................................................................................ 错误!未定义书签。

D 参考文献............................................................................................ 错误!未定义书签。

E 关于PKCS ......................................................................................... 错误!未定义书签。

1.绪论本文档描述了认证请求的语法。

一个认证请求包括一个可区分的名称、一个公钥、一个可选择的属性集，和要求认证的实体整体签名。

认证请求被发送到一个认证的权威机构，它将这个请求边转换为[9] 公钥。

（在那种形式中认证的权威机构返回一个新的签名的证书，这部分的介绍超出了本文档的范围。

可能是一条PKCS#7 [2]的密文消息。

）包含属性集有双重目的：提供特定实体的其它相关信息，或者是个难破解的口令，依靠那个口令实体可以在将来要求证书撤销；提供证书的内部信息。

PKCS #9[3]给出了一个比较详细的属性列表。

认证的权威机构也可以要求使用非电子的申请表格，而且可以以非电子的方式答复。

也许你期望给一些那些表格的描述，但这超出了本文档的范围，你可以到认证的权威机构那里获得。

本文档最初的应用意图是支持PKCS#7的密文，但有有人期望开发其它的应用。

（如[4]）2.定义与符号定义为了说明本文档，应用下面的一些定义。

算法：在中定义的一个信息对象类，被描述为由一个算法（一个唯一的对象标识符）和他的参数（任意的类型）组成。

在这个类中，对象的值由的算法标识符{}表示。

算法定义为有用的信息对象类类型标识符。

具体说明在[11],Annex A算法标识符{}：本文档中定义的一个有用的,参数表现的,类型运算符。

它将成对的运算标识符与他们的相关的参数类型紧密绑定。

当引用的时候，单个的AlgorithmIdentifier{}参数指定了在一个类型实例中约束出现的值对。

AlgorithmIdentifier{}的编码值等价于这些属性的类型。

：抽象语法符号1，参见中定义的标准（[10],[11],[12]和[13]）。

属性：描述了组成对象的属性（一个唯一的对象标识符）和一个相关的属性值的集合（任意的类型）。

在这个类中，对象的值可以表示为类型Attribute{}。

Attribute{}：本文档中定义的一个有用的,参数表现的,[8]类型。

这个类型将成对的属性对象类型标识符紧密地绑定到一个或多个属性值上。

在开放类型符号中，一个属性类型被定义为ATTRIBUTE.&id，一个属性值被定义为ATTRIBUTE.&Type。

当引用的时候，单个的Attribute{}参数指定了在一个类型实例中约束出现的值对。

Attribute{}的编码值等价于这些属性的类型。

BER：基本编码规则（Basic Encoding Rules）,定义在中([14])。

证书：用数字签名将一个可区分的实体名称和一个公钥绑定到一起的一种类型。

这种类型在中定义。

这种类型也包括证书发行者的可区分名称（签名者），一个发行者特定的序列号，发行者的签名算法标识符，有效期，和一些可选择的签名扩展。

DER:对的唯一编码规则（Distinguished Encoding Rules for ），在中定义。

DER是BER的一个子集。

名称：是在[7]目录中，唯一标识或区分对象的一种类型。

这种类型在中定义。

在一个证书中，这种类型标识证书发行者和证书主题，公钥证明的实体。

符号在本文档中，所有的类型和值用粗体Helvetica 表示。

3．概述一个认证请求由三部分组成：“认证请求信息”，一个签名算法标识符，和一个签署在认证请求上的数字签名。

认证请求信息由实体的可区分名称，实体的公钥，和一些能提供实体其它信息的属性组成。

一个认证请求的过程由下面一些步骤组成：1．一个CertificationRequestInfo值包含着在一个实体的认证请求中的，一个可以区分的名称，一个公钥，和一组可选择的属性。

2．这个CertificationRequestInfo值被那个实体的私钥签名。

（看节）3．这个CertificationRequestInfo值，一个签名算法标识符，和实体的签名被收集到一个CertificationRequest值中，在后面定义。

一个认证的权威机构通过鉴别这个请求和验证实体的签名来执行这个请求。

如果请求是有效的，就会由可区分的名称，公钥，发行者的名称，认证权威机构的选择的序列号，有效期，签名算法，来构建一个证书。

如果认证请求包含任何PKCS#9的属性，认证的权威机构也可以使用这些属性构建证书的扩展部分。

在这个过程中，关于认证的权威机构返回的新证书的部分超出了本文档讨论的范围。

一个可能的结果是一个PKCS#7内容被签名的的密文，在一些简并的实例中没有签名者（following the degenerate case where there are no signers 翻译不准）。

返回的信息可能包含一条从新证书到认证的权威机构的认证路径。

它也可能包含其它的认证信息：如认证机构认为有用的交叉认证信息，也可能包含证书撤销列表（CRLs）。

另外的可能是认证机构将这个新的证书加入到中心数据库。

注释 1 一个实体通常在产生了一个公钥/私钥对，或更改了实体的唯一名称后发出认证请求。

注释 2 认证请求中的签名会阻止一个实体使用其它的公钥请求一个证书。

这样做会防止一个实体篡改其他实体的签名的信息。

当实体不知道信息已经被签名，而且信息中签名的部分不能标识签名者时，这样处理是很重要的。

当然，实体也不能解密发给其他人的信息。

注释 3 关于实体怎样将认证请求发送给一个认证的权威机构的问题超出了本文档的范围。

使用纸质或电子的表格都有可能。

注释 4 本文档和加强电子邮件保密性的认证请求语法(如在RFC1424[5]中描述的)不兼容。

其中的不同表现在三个方面：本语法允许一个属性集；它不包含发行者的名称，序列号，或有效期；它不要求签署一段“innocuous”信息。

本文档的主要设计目的是将请求最小化，主要特点是认证机构以书面形式接收请求。

4．认证请求语法本节分为两个部分。

第一部分描述了认证请求信息的类型CertificationRequestInfo，另一部分描述了最高层的类型CertificationRequest。

CertificationRequestInfo认证请求信息应该符合的类型CertificationRequestInfo:CertificationRequestInfo ::= SEQUENCE {version INTEGER { v1(0) } (v1,...),subject Name,subjectPKInfo SubjectPublicKeyInfo{{ PKInfoAlgorithms }},attributes [0] Attributes{{ CRIAttributes }}}SubjectPublicKeyInfo { ALGORITHM : IOSet} ::= SEQUENCE {algorithm AlgorithmIdentifier {{IOSet}},subjectPublicKey BIT STRING}PKInfoAlgorithms ALGORITHM ::= {... -- add any locally defined algorithms here -- }Attributes { ATTRIBUTE:IOSet } ::= SET OF Attribute{{ IOSet }}CRIAttributes ATTRIBUTE ::= {... -- add any locally defined attributes here -- }Attribute { ATTRIBUTE:IOSet } ::= SEQUENCE {type ATTRIBUTE.&id({IOSet}),values SET SIZE(1..MAX) OF ATTRIBUTE.&Type({IOSet}{@type})}CertificationRequestInfo类型组成部分的意义如下：version是版本号，目的是为了和本文档将来的修订版兼容。