- moved RFCs from ikev2 into doc dir
[strongswan.git] / doc / ikev2 / [RFC3280] - x509 Certificates.txt
1
2
3
4
5
6
7 Network Working Group                                         R. Housley
8 Request for Comments: 3280                              RSA Laboratories
9 Obsoletes: 2459                                                  W. Polk
10 Category: Standards Track                                           NIST
11                                                                  W. Ford
12                                                                 VeriSign
13                                                                  D. Solo
14                                                                Citigroup
15                                                               April 2002
16
17                 Internet X.509 Public Key Infrastructure
18        Certificate and Certificate Revocation List (CRL) Profile
19
20 Status of this Memo
21
22    This document specifies an Internet standards track protocol for the
23    Internet community, and requests discussion and suggestions for
24    improvements.  Please refer to the current edition of the "Internet
25    Official Protocol Standards" (STD 1) for the standardization state
26    and status of this protocol.  Distribution of this memo is unlimited.
27
28 Copyright Notice
29
30    Copyright (C) The Internet Society (2002).  All Rights Reserved.
31
32 Abstract
33
34    This memo profiles the X.509 v3 certificate and X.509 v2 Certificate
35    Revocation List (CRL) for use in the Internet.  An overview of this
36    approach and model are provided as an introduction.  The X.509 v3
37    certificate format is described in detail, with additional
38    information regarding the format and semantics of Internet name
39    forms.  Standard certificate extensions are described and two
40    Internet-specific extensions are defined.  A set of required
41    certificate extensions is specified.  The X.509 v2 CRL format is
42    described in detail, and required extensions are defined.  An
43    algorithm for X.509 certification path validation is described.  An
44    ASN.1 module and examples are provided in the appendices.
45
46 Table of Contents
47
48    1  Introduction  . . . . . . . . . . . . . . . . . . . . . .   4
49    2  Requirements and Assumptions  . . . . . . . . . . . . . .   5
50    2.1  Communication and Topology  . . . . . . . . . . . . . .   6
51    2.2  Acceptability Criteria  . . . . . . . . . . . . . . . .   6
52    2.3  User Expectations . . . . . . . . . . . . . . . . . . .   7
53    2.4  Administrator Expectations  . . . . . . . . . . . . . .   7
54    3  Overview of Approach  . . . . . . . . . . . . . . . . . .   7
55
56
57
58 Housley, et. al.            Standards Track                     [Page 1]
59 \f
60 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
61
62
63    3.1  X.509 Version 3 Certificate . . . . . . . . . . . . . .   8
64    3.2  Certification Paths and Trust . . . . . . . . . . . . .   9
65    3.3  Revocation  . . . . . . . . . . . . . . . . . . . . . .  11
66    3.4  Operational Protocols . . . . . . . . . . . . . . . . .  13
67    3.5  Management Protocols  . . . . . . . . . . . . . . . . .  13
68    4  Certificate and Certificate Extensions Profile  . . . . .  14
69    4.1  Basic Certificate Fields  . . . . . . . . . . . . . . .  15
70    4.1.1  Certificate Fields  . . . . . . . . . . . . . . . . .  16
71    4.1.1.1  tbsCertificate  . . . . . . . . . . . . . . . . . .  16
72    4.1.1.2  signatureAlgorithm  . . . . . . . . . . . . . . . .  16
73    4.1.1.3  signatureValue  . . . . . . . . . . . . . . . . . .  16
74    4.1.2  TBSCertificate  . . . . . . . . . . . . . . . . . . .  17
75    4.1.2.1  Version . . . . . . . . . . . . . . . . . . . . . .  17
76    4.1.2.2  Serial number . . . . . . . . . . . . . . . . . . .  17
77    4.1.2.3  Signature . . . . . . . . . . . . . . . . . . . . .  18
78    4.1.2.4  Issuer  . . . . . . . . . . . . . . . . . . . . . .  18
79    4.1.2.5  Validity  . . . . . . . . . . . . . . . . . . . . .  22
80    4.1.2.5.1  UTCTime . . . . . . . . . . . . . . . . . . . . .  22
81    4.1.2.5.2  GeneralizedTime . . . . . . . . . . . . . . . . .  22
82    4.1.2.6  Subject . . . . . . . . . . . . . . . . . . . . . .  23
83    4.1.2.7  Subject Public Key Info . . . . . . . . . . . . . .  24
84    4.1.2.8  Unique Identifiers  . . . . . . . . . . . . . . . .  24
85    4.1.2.9 Extensions . . . . . . . . . . . . . . . . . . . . .  24
86    4.2  Certificate Extensions  . . . . . . . . . . . . . . . .  24
87    4.2.1  Standard Extensions . . . . . . . . . . . . . . . . .  25
88    4.2.1.1  Authority Key Identifier  . . . . . . . . . . . . .  26
89    4.2.1.2  Subject Key Identifier  . . . . . . . . . . . . . .  27
90    4.2.1.3  Key Usage . . . . . . . . . . . . . . . . . . . . .  28
91    4.2.1.4  Private Key Usage Period  . . . . . . . . . . . . .  29
92    4.2.1.5  Certificate Policies  . . . . . . . . . . . . . . .  30
93    4.2.1.6  Policy Mappings . . . . . . . . . . . . . . . . . .  33
94    4.2.1.7  Subject Alternative Name  . . . . . . . . . . . . .  33
95    4.2.1.8  Issuer Alternative Name . . . . . . . . . . . . . .  36
96    4.2.1.9  Subject Directory Attributes  . . . . . . . . . . .  36
97    4.2.1.10  Basic Constraints  . . . . . . . . . . . . . . . .  36
98    4.2.1.11  Name Constraints . . . . . . . . . . . . . . . . .  37
99    4.2.1.12  Policy Constraints . . . . . . . . . . . . . . . .  40
100    4.2.1.13  Extended Key Usage . . . . . . . . . . . . . . . .  40
101    4.2.1.14  CRL Distribution Points  . . . . . . . . . . . . .  42
102    4.2.1.15  Inhibit Any-Policy . . . . . . . . . . . . . . . .  44
103    4.2.1.16  Freshest CRL . . . . . . . . . . . . . . . . . . .  44
104    4.2.2  Internet Certificate Extensions . . . . . . . . . . .  45
105    4.2.2.1  Authority Information Access  . . . . . . . . . . .  45
106    4.2.2.2  Subject Information Access  . . . . . . . . . . . .  46
107    5  CRL and CRL Extensions Profile  . . . . . . . . . . . . .  48
108    5.1  CRL Fields  . . . . . . . . . . . . . . . . . . . . . .  49
109    5.1.1  CertificateList Fields  . . . . . . . . . . . . . . .  50
110    5.1.1.1  tbsCertList . . . . . . . . . . . . . . . . . . . .  50
111
112
113
114 Housley, et. al.            Standards Track                     [Page 2]
115 \f
116 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
117
118
119    5.1.1.2  signatureAlgorithm  . . . . . . . . . . . . . . . .  50
120    5.1.1.3  signatureValue  . . . . . . . . . . . . . . . . . .  51
121    5.1.2  Certificate List "To Be Signed" . . . . . . . . . . .  51
122    5.1.2.1  Version . . . . . . . . . . . . . . . . . . . . . .  52
123    5.1.2.2  Signature . . . . . . . . . . . . . . . . . . . . .  52
124    5.1.2.3  Issuer Name . . . . . . . . . . . . . . . . . . . .  52
125    5.1.2.4  This Update . . . . . . . . . . . . . . . . . . . .  52
126    5.1.2.5  Next Update . . . . . . . . . . . . . . . . . . . .  53
127    5.1.2.6  Revoked Certificates  . . . . . . . . . . . . . . .  53
128    5.1.2.7  Extensions  . . . . . . . . . . . . . . . . . . . .  53
129    5.2  CRL Extensions  . . . . . . . . . . . . . . . . . . . .  53
130    5.2.1  Authority Key Identifier  . . . . . . . . . . . . . .  54
131    5.2.2  Issuer Alternative Name . . . . . . . . . . . . . . .  54
132    5.2.3  CRL Number  . . . . . . . . . . . . . . . . . . . . .  55
133    5.2.4  Delta CRL Indicator . . . . . . . . . . . . . . . . .  55
134    5.2.5  Issuing Distribution Point  . . . . . . . . . . . . .  58
135    5.2.6  Freshest CRL  . . . . . . . . . . . . . . . . . . . .  59
136    5.3  CRL Entry Extensions  . . . . . . . . . . . . . . . . .  60
137    5.3.1  Reason Code . . . . . . . . . . . . . . . . . . . . .  60
138    5.3.2  Hold Instruction Code . . . . . . . . . . . . . . . .  61
139    5.3.3  Invalidity Date . . . . . . . . . . . . . . . . . . .  62
140    5.3.4  Certificate Issuer  . . . . . . . . . . . . . . . . .  62
141    6  Certificate Path Validation . . . . . . . . . . . . . . .  62
142    6.1  Basic Path Validation . . . . . . . . . . . . . . . . .  63
143    6.1.1  Inputs  . . . . . . . . . . . . . . . . . . . . . . .  66
144    6.1.2  Initialization  . . . . . . . . . . . . . . . . . . .  67
145    6.1.3  Basic Certificate Processing  . . . . . . . . . . . .  70
146    6.1.4  Preparation for Certificate i+1 . . . . . . . . . . .  75
147    6.1.5  Wrap-up procedure . . . . . . . . . . . . . . . . . .  78
148    6.1.6  Outputs . . . . . . . . . . . . . . . . . . . . . . .  80
149    6.2  Extending Path Validation . . . . . . . . . . . . . . .  80
150    6.3  CRL Validation  . . . . . . . . . . . . . . . . . . . .  81
151    6.3.1  Revocation Inputs . . . . . . . . . . . . . . . . . .  82
152    6.3.2  Initialization and Revocation State Variables . . . .  82
153    6.3.3  CRL Processing  . . . . . . . . . . . . . . . . . . .  83
154    7  References  . . . . . . . . . . . . . . . . . . . . . . .  86
155    8  Intellectual Property Rights  . . . . . . . . . . . . . .  88
156    9  Security Considerations . . . . . . . . . . . . . . . . .  89
157    Appendix A.  ASN.1 Structures and OIDs . . . . . . . . . . .  92
158    A.1 Explicitly Tagged Module, 1988 Syntax  . . . . . . . . .  92
159    A.2 Implicitly Tagged Module, 1988 Syntax  . . . . . . . . . 105
160    Appendix B.  ASN.1 Notes . . . . . . . . . . . . . . . . . . 112
161    Appendix C.  Examples  . . . . . . . . . . . . . . . . . . . 115
162    C.1  DSA Self-Signed Certificate . . . . . . . . . . . . . . 115
163    C.2  End Entity Certificate Using DSA  . . . . . . . . . . . 119
164    C.3  End Entity Certificate Using RSA  . . . . . . . . . . . 122
165    C.4  Certificate Revocation List . . . . . . . . . . . . . . 126
166    Author Addresses . . . . . . . . . . . . . . . . . . . . . . 128
167
168
169
170 Housley, et. al.            Standards Track                     [Page 3]
171 \f
172 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
173
174
175    Full Copyright Statement . . . . . . . . . . . . . . . . . . 129
176
177 1  Introduction
178
179    This specification is one part of a family of standards for the X.509
180    Public Key Infrastructure (PKI) for the Internet.
181
182    This specification profiles the format and semantics of certificates
183    and certificate revocation lists (CRLs) for the Internet PKI.
184    Procedures are described for processing of certification paths in the
185    Internet environment.  Finally, ASN.1 modules are provided in the
186    appendices for all data structures defined or referenced.
187
188    Section 2 describes Internet PKI requirements, and the assumptions
189    which affect the scope of this document.  Section 3 presents an
190    architectural model and describes its relationship to previous IETF
191    and ISO/IEC/ITU-T standards.  In particular, this document's
192    relationship with the IETF PEM specifications and the ISO/IEC/ITU-T
193    X.509 documents are described.
194
195    Section 4 profiles the X.509 version 3 certificate, and section 5
196    profiles the X.509 version 2 CRL.  The profiles include the
197    identification of ISO/IEC/ITU-T and ANSI extensions which may be
198    useful in the Internet PKI.  The profiles are presented in the 1988
199    Abstract Syntax Notation One (ASN.1) rather than the 1997 ASN.1
200    syntax used in the most recent ISO/IEC/ITU-T standards.
201
202    Section 6 includes certification path validation procedures.  These
203    procedures are based upon the ISO/IEC/ITU-T definition.
204    Implementations are REQUIRED to derive the same results but are not
205    required to use the specified procedures.
206
207    Procedures for identification and encoding of public key materials
208    and digital signatures are defined in [PKIXALGS].  Implementations of
209    this specification are not required to use any particular
210    cryptographic algorithms.  However, conforming implementations which
211    use the algorithms identified in [PKIXALGS] MUST identify and encode
212    the public key materials and digital signatures as described in that
213    specification.
214
215    Finally, three appendices are provided to aid implementers.  Appendix
216    A contains all ASN.1 structures defined or referenced within this
217    specification.  As above, the material is presented in the 1988
218    ASN.1.  Appendix B contains notes on less familiar features of the
219    ASN.1 notation used within this specification.  Appendix C contains
220    examples of a conforming certificate and a conforming CRL.
221
222
223
224
225
226 Housley, et. al.            Standards Track                     [Page 4]
227 \f
228 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
229
230
231    This specification obsoletes RFC 2459.  This specification differs
232    from RFC 2459 in five basic areas:
233
234       * To promote interoperable implementations, a detailed algorithm
235       for certification path validation is included in section 6.1 of
236       this specification; RFC 2459 provided only a high-level
237       description of path validation.
238
239       * An algorithm for determining the status of a certificate using
240       CRLs is provided in section 6.3 of this specification.  This
241       material was not present in RFC 2459.
242
243       * To accommodate new usage models, detailed information describing
244       the use of delta CRLs is provided in Section 5 of this
245       specification.
246
247       * Identification and encoding of public key materials and digital
248       signatures are not included in this specification, but are now
249       described in a companion specification [PKIXALGS].
250
251       * Four additional extensions are specified: three certificate
252       extensions and one CRL extension.  The certificate extensions are
253       subject info access, inhibit any-policy, and freshest CRL.  The
254       freshest CRL extension is also defined as a CRL extension.
255
256       * Throughout the specification, clarifications have been
257       introduced to enhance consistency with the ITU-T X.509
258       specification.  X.509 defines the certificate and CRL format as
259       well as many of the extensions that appear in this specification.
260       These changes were introduced to improve the likelihood of
261       interoperability between implementations based on this
262       specification with implementations based on the ITU-T
263       specification.
264
265    The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT",
266    "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this
267    document are to be interpreted as described in RFC 2119.
268
269 2  Requirements and Assumptions
270
271    The goal of this specification is to develop a profile to facilitate
272    the use of X.509 certificates within Internet applications for those
273    communities wishing to make use of X.509 technology.  Such
274    applications may include WWW, electronic mail, user authentication,
275    and IPsec.  In order to relieve some of the obstacles to using X.509
276
277
278
279
280
281
282 Housley, et. al.            Standards Track                     [Page 5]
283 \f
284 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
285
286
287    certificates, this document defines a profile to promote the
288    development of certificate management systems; development of
289    application tools; and interoperability determined by policy.
290
291    Some communities will need to supplement, or possibly replace, this
292    profile in order to meet the requirements of specialized application
293    domains or environments with additional authorization, assurance, or
294    operational requirements.  However, for basic applications, common
295    representations of frequently used attributes are defined so that
296    application developers can obtain necessary information without
297    regard to the issuer of a particular certificate or certificate
298    revocation list (CRL).
299
300    A certificate user should review the certificate policy generated by
301    the certification authority (CA) before relying on the authentication
302    or non-repudiation services associated with the public key in a
303    particular certificate.  To this end, this standard does not
304    prescribe legally binding rules or duties.
305
306    As supplemental authorization and attribute management tools emerge,
307    such as attribute certificates, it may be appropriate to limit the
308    authenticated attributes that are included in a certificate.  These
309    other management tools may provide more appropriate methods of
310    conveying many authenticated attributes.
311
312 2.1  Communication and Topology
313
314    The users of certificates will operate in a wide range of
315    environments with respect to their communication topology, especially
316    users of secure electronic mail.  This profile supports users without
317    high bandwidth, real-time IP connectivity, or high connection
318    availability.  In addition, the profile allows for the presence of
319    firewall or other filtered communication.
320
321    This profile does not assume the deployment of an X.500 Directory
322    system or a LDAP directory system.  The profile does not prohibit the
323    use of an X.500 Directory or a LDAP directory; however, any means of
324    distributing certificates and certificate revocation lists (CRLs) may
325    be used.
326
327 2.2  Acceptability Criteria
328
329    The goal of the Internet Public Key Infrastructure (PKI) is to meet
330    the needs of deterministic, automated identification, authentication,
331    access control, and authorization functions.  Support for these
332    services determines the attributes contained in the certificate as
333    well as the ancillary control information in the certificate such as
334    policy data and certification path constraints.
335
336
337
338 Housley, et. al.            Standards Track                     [Page 6]
339 \f
340 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
341
342
343 2.3  User Expectations
344
345    Users of the Internet PKI are people and processes who use client
346    software and are the subjects named in certificates.  These uses
347    include readers and writers of electronic mail, the clients for WWW
348    browsers, WWW servers, and the key manager for IPsec within a router.
349    This profile recognizes the limitations of the platforms these users
350    employ and the limitations in sophistication and attentiveness of the
351    users themselves.  This manifests itself in minimal user
352    configuration responsibility (e.g., trusted CA keys, rules), explicit
353    platform usage constraints within the certificate, certification path
354    constraints which shield the user from many malicious actions, and
355    applications which sensibly automate validation functions.
356
357 2.4  Administrator Expectations
358
359    As with user expectations, the Internet PKI profile is structured to
360    support the individuals who generally operate CAs.  Providing
361    administrators with unbounded choices increases the chances that a
362    subtle CA administrator mistake will result in broad compromise.
363    Also, unbounded choices greatly complicate the software that process
364    and validate the certificates created by the CA.
365
366 3  Overview of Approach
367
368    Following is a simplified view of the architectural model assumed by
369    the PKIX specifications.
370
371    The components in this model are:
372
373    end entity: user of PKI certificates and/or end user system that is
374                the subject of a certificate;
375    CA:         certification authority;
376    RA:         registration authority, i.e., an optional system to which
377                a CA delegates certain management functions;
378    CRL issuer: an optional system to which a CA delegates the
379                publication of certificate revocation lists;
380    repository: a system or collection of distributed systems that stores
381                certificates and CRLs and serves as a means of
382                distributing these certificates and CRLs to end entities.
383
384    Note that an Attribute Authority (AA) might also choose to delegate
385    the publication of CRLs to a CRL issuer.
386
387
388
389
390
391
392
393
394 Housley, et. al.            Standards Track                     [Page 7]
395 \f
396 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
397
398
399    +---+
400    | C |                       +------------+
401    | e | <-------------------->| End entity |
402    | r |       Operational     +------------+
403    | t |       transactions          ^
404    | i |      and management         |  Management
405    | f |       transactions          |  transactions        PKI
406    | i |                             |                     users
407    | c |                             v
408    | a | =======================  +--+------------+  ==============
409    | t |                          ^               ^
410    | e |                          |               |         PKI
411    |   |                          v               |      management
412    | & |                       +------+           |       entities
413    |   | <---------------------|  RA  |<----+     |
414    | C |  Publish certificate  +------+     |     |
415    | R |                                    |     |
416    | L |                                    |     |
417    |   |                                    v     v
418    | R |                                +------------+
419    | e | <------------------------------|     CA     |
420    | p |   Publish certificate          +------------+
421    | o |   Publish CRL                     ^      ^
422    | s |                                   |      |  Management
423    | i |                +------------+     |      |  transactions
424    | t | <--------------| CRL Issuer |<----+      |
425    | o |   Publish CRL  +------------+            v
426    | r |                                      +------+
427    | y |                                      |  CA  |
428    +---+                                      +------+
429
430                       Figure 1 - PKI Entities
431
432 3.1  X.509 Version 3 Certificate
433
434    Users of a public key require confidence that the associated private
435    key is owned by the correct remote subject (person or system) with
436    which an encryption or digital signature mechanism will be used.
437    This confidence is obtained through the use of public key
438    certificates, which are data structures that bind public key values
439    to subjects.  The binding is asserted by having a trusted CA
440    digitally sign each certificate.  The CA may base this assertion upon
441    technical means (a.k.a., proof of possession through a challenge-
442    response protocol), presentation of the private key, or on an
443    assertion by the subject.  A certificate has a limited valid lifetime
444    which is indicated in its signed contents.  Because a certificate's
445    signature and timeliness can be independently checked by a
446    certificate-using client, certificates can be distributed via
447
448
449
450 Housley, et. al.            Standards Track                     [Page 8]
451 \f
452 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
453
454
455    untrusted communications and server systems, and can be cached in
456    unsecured storage in certificate-using systems.
457
458    ITU-T X.509 (formerly CCITT X.509) or ISO/IEC 9594-8, which was first
459    published in 1988 as part of the X.500 Directory recommendations,
460    defines a standard certificate format [X.509].  The certificate
461    format in the 1988 standard is called the version 1 (v1) format.
462    When X.500 was revised in 1993, two more fields were added, resulting
463    in the version 2 (v2) format.
464
465    The Internet Privacy Enhanced Mail (PEM) RFCs, published in 1993,
466    include specifications for a public key infrastructure based on X.509
467    v1 certificates [RFC 1422].  The experience gained in attempts to
468    deploy RFC 1422 made it clear that the v1 and v2 certificate formats
469    are deficient in several respects.  Most importantly, more fields
470    were needed to carry information which PEM design and implementation
471    experience had proven necessary.  In response to these new
472    requirements, ISO/IEC, ITU-T and ANSI X9 developed the X.509 version
473    3 (v3) certificate format.  The v3 format extends the v2 format by
474    adding provision for additional extension fields.  Particular
475    extension field types may be specified in standards or may be defined
476    and registered by any organization or community.  In June 1996,
477    standardization of the basic v3 format was completed [X.509].
478
479    ISO/IEC, ITU-T, and ANSI X9 have also developed standard extensions
480    for use in the v3 extensions field [X.509][X9.55].  These extensions
481    can convey such data as additional subject identification
482    information, key attribute information, policy information, and
483    certification path constraints.
484
485    However, the ISO/IEC, ITU-T, and ANSI X9 standard extensions are very
486    broad in their applicability.  In order to develop interoperable
487    implementations of X.509 v3 systems for Internet use, it is necessary
488    to specify a profile for use of the X.509 v3 extensions tailored for
489    the Internet.  It is one goal of this document to specify a profile
490    for Internet WWW, electronic mail, and IPsec applications.
491    Environments with additional requirements may build on this profile
492    or may replace it.
493
494 3.2  Certification Paths and Trust
495
496    A user of a security service requiring knowledge of a public key
497    generally needs to obtain and validate a certificate containing the
498    required public key.  If the public key user does not already hold an
499    assured copy of the public key of the CA that signed the certificate,
500    the CA's name, and related information (such as the validity period
501    or name constraints), then it might need an additional certificate to
502    obtain that public key.  In general, a chain of multiple certificates
503
504
505
506 Housley, et. al.            Standards Track                     [Page 9]
507 \f
508 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
509
510
511    may be needed, comprising a certificate of the public key owner (the
512    end entity) signed by one CA, and zero or more additional
513    certificates of CAs signed by other CAs.  Such chains, called
514    certification paths, are required because a public key user is only
515    initialized with a limited number of assured CA public keys.
516
517    There are different ways in which CAs might be configured in order
518    for public key users to be able to find certification paths.  For
519    PEM, RFC 1422 defined a rigid hierarchical structure of CAs.  There
520    are three types of PEM certification authority:
521
522       (a)  Internet Policy Registration Authority (IPRA):  This
523       authority, operated under the auspices of the Internet Society,
524       acts as the root of the PEM certification hierarchy at level 1.
525       It issues certificates only for the next level of authorities,
526       PCAs.  All certification paths start with the IPRA.
527
528       (b)  Policy Certification Authorities (PCAs):  PCAs are at level 2
529       of the hierarchy, each PCA being certified by the IPRA.  A PCA
530       shall establish and publish a statement of its policy with respect
531       to certifying users or subordinate certification authorities.
532       Distinct PCAs aim to satisfy different user needs.  For example,
533       one PCA (an organizational PCA) might support the general
534       electronic mail needs of commercial organizations, and another PCA
535       (a high-assurance PCA) might have a more stringent policy designed
536       for satisfying legally binding digital signature requirements.
537
538       (c)  Certification Authorities (CAs):  CAs are at level 3 of the
539       hierarchy and can also be at lower levels.  Those at level 3 are
540       certified by PCAs.  CAs represent, for example, particular
541       organizations, particular organizational units (e.g., departments,
542       groups, sections), or particular geographical areas.
543
544    RFC 1422 furthermore has a name subordination rule which requires
545    that a CA can only issue certificates for entities whose names are
546    subordinate (in the X.500 naming tree) to the name of the CA itself.
547    The trust associated with a PEM certification path is implied by the
548    PCA name.  The name subordination rule ensures that CAs below the PCA
549    are sensibly constrained as to the set of subordinate entities they
550    can certify (e.g., a CA for an organization can only certify entities
551    in that organization's name tree).  Certificate user systems are able
552    to mechanically check that the name subordination rule has been
553    followed.
554
555    The RFC 1422 uses the X.509 v1 certificate formats.  The limitations
556    of X.509 v1 required imposition of several structural restrictions to
557    clearly associate policy information or restrict the utility of
558    certificates.  These restrictions included:
559
560
561
562 Housley, et. al.            Standards Track                    [Page 10]
563 \f
564 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
565
566
567       (a)  a pure top-down hierarchy, with all certification paths
568       starting from IPRA;
569
570       (b)  a naming subordination rule restricting the names of a CA's
571       subjects; and
572
573       (c)  use of the PCA concept, which requires knowledge of
574       individual PCAs to be built into certificate chain verification
575       logic.  Knowledge of individual PCAs was required to determine if
576       a chain could be accepted.
577
578    With X.509 v3, most of the requirements addressed by RFC 1422 can be
579    addressed using certificate extensions, without a need to restrict
580    the CA structures used.  In particular, the certificate extensions
581    relating to certificate policies obviate the need for PCAs and the
582    constraint extensions obviate the need for the name subordination
583    rule.  As a result, this document supports a more flexible
584    architecture, including:
585
586       (a)  Certification paths start with a public key of a CA in a
587       user's own domain, or with the public key of the top of a
588       hierarchy.  Starting with the public key of a CA in a user's own
589       domain has certain advantages.  In some environments, the local
590       domain is the most trusted.
591
592       (b)  Name constraints may be imposed through explicit inclusion of
593       a name constraints extension in a certificate, but are not
594       required.
595
596       (c)  Policy extensions and policy mappings replace the PCA
597       concept, which permits a greater degree of automation.  The
598       application can determine if the certification path is acceptable
599       based on the contents of the certificates instead of a priori
600       knowledge of PCAs.  This permits automation of certification path
601       processing.
602
603 3.3  Revocation
604
605    When a certificate is issued, it is expected to be in use for its
606    entire validity period.  However, various circumstances may cause a
607    certificate to become invalid prior to the expiration of the validity
608    period.  Such circumstances include change of name, change of
609    association between subject and CA (e.g., an employee terminates
610    employment with an organization), and compromise or suspected
611    compromise of the corresponding private key.  Under such
612    circumstances, the CA needs to revoke the certificate.
613
614
615
616
617
618 Housley, et. al.            Standards Track                    [Page 11]
619 \f
620 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
621
622
623    X.509 defines one method of certificate revocation.  This method
624    involves each CA periodically issuing a signed data structure called
625    a certificate revocation list (CRL).  A CRL is a time stamped list
626    identifying revoked certificates which is signed by a CA or CRL
627    issuer and made freely available in a public repository.  Each
628    revoked certificate is identified in a CRL by its certificate serial
629    number.  When a certificate-using system uses a certificate (e.g.,
630    for verifying a remote user's digital signature), that system not
631    only checks the certificate signature and validity but also acquires
632    a suitably-recent CRL and checks that the certificate serial number
633    is not on that CRL.  The meaning of "suitably-recent" may vary with
634    local policy, but it usually means the most recently-issued CRL.  A
635    new CRL is issued on a regular periodic basis (e.g., hourly, daily,
636    or weekly).  An entry is added to the CRL as part of the next update
637    following notification of revocation.  An entry MUST NOT be removed
638    from the CRL until it appears on one regularly scheduled CRL issued
639    beyond the revoked certificate's validity period.
640
641    An advantage of this revocation method is that CRLs may be
642    distributed by exactly the same means as certificates themselves,
643    namely, via untrusted servers and untrusted communications.
644
645    One limitation of the CRL revocation method, using untrusted
646    communications and servers, is that the time granularity of
647    revocation is limited to the CRL issue period.  For example, if a
648    revocation is reported now, that revocation will not be reliably
649    notified to certificate-using systems until all currently issued CRLs
650    are updated -- this may be up to one hour, one day, or one week
651    depending on the frequency that CRLs are issued.
652
653    As with the X.509 v3 certificate format, in order to facilitate
654    interoperable implementations from multiple vendors, the X.509 v2 CRL
655    format needs to be profiled for Internet use.  It is one goal of this
656    document to specify that profile.  However, this profile does not
657    require the issuance of CRLs.  Message formats and protocols
658    supporting on-line revocation notification are defined in other PKIX
659    specifications.  On-line methods of revocation notification may be
660    applicable in some environments as an alternative to the X.509 CRL.
661    On-line revocation checking may significantly reduce the latency
662    between a revocation report and the distribution of the information
663    to relying parties.  Once the CA accepts a revocation report as
664    authentic and valid, any query to the on-line service will correctly
665    reflect the certificate validation impacts of the revocation.
666    However, these methods impose new security requirements: the
667    certificate validator needs to trust the on-line validation service
668    while the repository does not need to be trusted.
669
670
671
672
673
674 Housley, et. al.            Standards Track                    [Page 12]
675 \f
676 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
677
678
679 3.4  Operational Protocols
680
681    Operational protocols are required to deliver certificates and CRLs
682    (or status information) to certificate using client systems.
683    Provisions are needed for a variety of different means of certificate
684    and CRL delivery, including distribution procedures based on LDAP,
685    HTTP, FTP, and X.500.  Operational protocols supporting these
686    functions are defined in other PKIX specifications.  These
687    specifications may include definitions of message formats and
688    procedures for supporting all of the above operational environments,
689    including definitions of or references to appropriate MIME content
690    types.
691
692 3.5  Management Protocols
693
694    Management protocols are required to support on-line interactions
695    between PKI user and management entities.  For example, a management
696    protocol might be used between a CA and a client system with which a
697    key pair is associated, or between two CAs which cross-certify each
698    other.  The set of functions which potentially need to be supported
699    by management protocols include:
700
701       (a)  registration:  This is the process whereby a user first makes
702       itself known to a CA (directly, or through an RA), prior to that
703       CA issuing  a certificate or certificates for that user.
704
705       (b)  initialization:  Before a client system can operate securely
706       it is necessary to install key materials which have the
707       appropriate relationship with keys stored elsewhere in the
708       infrastructure.  For example, the client needs to be securely
709       initialized with the public key and other assured information of
710       the trusted CA(s), to be used in validating certificate paths.
711
712       Furthermore, a client typically needs to be initialized with its
713       own key pair(s).
714
715       (c)  certification:  This is the process in which a CA issues a
716       certificate for a user's public key, and returns that certificate
717       to the user's client system and/or posts that certificate in a
718       repository.
719
720       (d)  key pair recovery:  As an option, user client key materials
721       (e.g., a user's private key used for encryption purposes) may be
722       backed up by a CA or a key backup system.  If a user needs to
723       recover these backed up key materials (e.g., as a result of a
724       forgotten password or a lost key chain file), an on-line protocol
725       exchange may be needed to support such recovery.
726
727
728
729
730 Housley, et. al.            Standards Track                    [Page 13]
731 \f
732 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
733
734
735       (e)  key pair update:  All key pairs need to be updated regularly,
736       i.e., replaced with a new key pair, and new certificates issued.
737
738       (f)  revocation request:  An authorized person advises a CA of an
739       abnormal situation requiring certificate revocation.
740
741       (g)  cross-certification:  Two CAs exchange information used in
742       establishing a cross-certificate.  A cross-certificate is a
743       certificate issued by one CA to another CA which contains a CA
744       signature key used for issuing certificates.
745
746    Note that on-line protocols are not the only way of implementing the
747    above functions.  For all functions there are off-line methods of
748    achieving the same result, and this specification does not mandate
749    use of on-line protocols.  For example, when hardware tokens are
750    used, many of the functions may be achieved as part of the physical
751    token delivery.  Furthermore, some of the above functions may be
752    combined into one protocol exchange.  In particular, two or more of
753    the registration, initialization, and certification functions can be
754    combined into one protocol exchange.
755
756    The PKIX series of specifications defines a set of standard message
757    formats supporting the above functions.  The protocols for conveying
758    these messages in different environments (e.g., e-mail, file
759    transfer, and WWW) are described in those specifications.
760
761 4  Certificate and Certificate Extensions Profile
762
763    This section presents a profile for public key certificates that will
764    foster interoperability and a reusable PKI.  This section is based
765    upon the X.509 v3 certificate format and the standard certificate
766    extensions defined in [X.509].  The ISO/IEC and ITU-T documents use
767    the 1997 version of ASN.1; while this document uses the 1988 ASN.1
768    syntax, the encoded certificate and standard extensions are
769    equivalent.  This section also defines private extensions required to
770    support a PKI for the Internet community.
771
772    Certificates may be used in a wide range of applications and
773    environments covering a broad spectrum of interoperability goals and
774    a broader spectrum of operational and assurance requirements.  The
775    goal of this document is to establish a common baseline for generic
776    applications requiring broad interoperability and limited special
777    purpose requirements.  In particular, the emphasis will be on
778    supporting the use of X.509 v3 certificates for informal Internet
779    electronic mail, IPsec, and WWW applications.
780
781
782
783
784
785
786 Housley, et. al.            Standards Track                    [Page 14]
787 \f
788 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
789
790
791 4.1  Basic Certificate Fields
792
793    The X.509 v3 certificate basic syntax is as follows.  For signature
794    calculation, the data that is to be signed is encoded using the ASN.1
795    distinguished encoding rules (DER) [X.690].  ASN.1 DER encoding is a
796    tag, length, value encoding system for each element.
797
798    Certificate  ::=  SEQUENCE  {
799         tbsCertificate       TBSCertificate,
800         signatureAlgorithm   AlgorithmIdentifier,
801         signatureValue       BIT STRING  }
802
803    TBSCertificate  ::=  SEQUENCE  {
804         version         [0]  EXPLICIT Version DEFAULT v1,
805         serialNumber         CertificateSerialNumber,
806         signature            AlgorithmIdentifier,
807         issuer               Name,
808         validity             Validity,
809         subject              Name,
810         subjectPublicKeyInfo SubjectPublicKeyInfo,
811         issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL,
812                              -- If present, version MUST be v2 or v3
813         subjectUniqueID [2]  IMPLICIT UniqueIdentifier OPTIONAL,
814                              -- If present, version MUST be v2 or v3
815         extensions      [3]  EXPLICIT Extensions OPTIONAL
816                              -- If present, version MUST be v3
817         }
818
819    Version  ::=  INTEGER  {  v1(0), v2(1), v3(2)  }
820
821    CertificateSerialNumber  ::=  INTEGER
822
823    Validity ::= SEQUENCE {
824         notBefore      Time,
825         notAfter       Time }
826
827    Time ::= CHOICE {
828         utcTime        UTCTime,
829         generalTime    GeneralizedTime }
830
831    UniqueIdentifier  ::=  BIT STRING
832
833    SubjectPublicKeyInfo  ::=  SEQUENCE  {
834         algorithm            AlgorithmIdentifier,
835         subjectPublicKey     BIT STRING  }
836
837    Extensions  ::=  SEQUENCE SIZE (1..MAX) OF Extension
838
839
840
841
842 Housley, et. al.            Standards Track                    [Page 15]
843 \f
844 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
845
846
847    Extension  ::=  SEQUENCE  {
848         extnID      OBJECT IDENTIFIER,
849         critical    BOOLEAN DEFAULT FALSE,
850         extnValue   OCTET STRING  }
851
852    The following items describe the X.509 v3 certificate for use in the
853    Internet.
854
855 4.1.1  Certificate Fields
856
857    The Certificate is a SEQUENCE of three required fields.  The fields
858    are described in detail in the following subsections.
859
860 4.1.1.1  tbsCertificate
861
862    The field contains the names of the subject and issuer, a public key
863    associated with the subject, a validity period, and other associated
864    information.  The fields are described in detail in section 4.1.2;
865    the tbsCertificate usually includes extensions which are described in
866    section 4.2.
867
868 4.1.1.2  signatureAlgorithm
869
870    The signatureAlgorithm field contains the identifier for the
871    cryptographic algorithm used by the CA to sign this certificate.
872    [PKIXALGS] lists supported signature algorithms, but other signature
873    algorithms MAY also be supported.
874
875    An algorithm identifier is defined by the following ASN.1 structure:
876
877    AlgorithmIdentifier  ::=  SEQUENCE  {
878         algorithm               OBJECT IDENTIFIER,
879         parameters              ANY DEFINED BY algorithm OPTIONAL  }
880
881    The algorithm identifier is used to identify a cryptographic
882    algorithm.  The OBJECT IDENTIFIER component identifies the algorithm
883    (such as DSA with SHA-1).  The contents of the optional parameters
884    field will vary according to the algorithm identified.
885
886    This field MUST contain the same algorithm identifier as the
887    signature field in the sequence tbsCertificate (section 4.1.2.3).
888
889 4.1.1.3  signatureValue
890
891    The signatureValue field contains a digital signature computed upon
892    the ASN.1 DER encoded tbsCertificate.  The ASN.1 DER encoded
893    tbsCertificate is used as the input to the signature function.  This
894
895
896
897
898 Housley, et. al.            Standards Track                    [Page 16]
899 \f
900 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
901
902
903    signature value is encoded as a BIT STRING and included in the
904    signature field.  The details of this process are specified for each
905    of algorithms listed in [PKIXALGS].
906
907    By generating this signature, a CA certifies the validity of the
908    information in the tbsCertificate field.  In particular, the CA
909    certifies the binding between the public key material and the subject
910    of the certificate.
911
912 4.1.2  TBSCertificate
913
914    The sequence TBSCertificate contains information associated with the
915    subject of the certificate and the CA who issued it.  Every
916    TBSCertificate contains the names of the subject and issuer, a public
917    key associated with the subject, a validity period, a version number,
918    and a serial number; some MAY contain optional unique identifier
919    fields.  The remainder of this section describes the syntax and
920    semantics of these fields.  A TBSCertificate usually includes
921    extensions.  Extensions for the Internet PKI are described in Section
922    4.2.
923
924 4.1.2.1  Version
925
926    This field describes the version of the encoded certificate.  When
927    extensions are used, as expected in this profile, version MUST be 3
928    (value is 2).  If no extensions are present, but a UniqueIdentifier
929    is present, the version SHOULD be 2 (value is 1); however version MAY
930    be 3.  If only basic fields are present, the version SHOULD be 1 (the
931    value is omitted from the certificate as the default value); however
932    the version MAY be 2 or 3.
933
934    Implementations SHOULD be prepared to accept any version certificate.
935    At a minimum, conforming implementations MUST recognize version 3
936    certificates.
937
938    Generation of version 2 certificates is not expected by
939    implementations based on this profile.
940
941 4.1.2.2  Serial number
942
943    The serial number MUST be a positive integer assigned by the CA to
944    each certificate.  It MUST be unique for each certificate issued by a
945    given CA (i.e., the issuer name and serial number identify a unique
946    certificate).  CAs MUST force the serialNumber to be a non-negative
947    integer.
948
949
950
951
952
953
954 Housley, et. al.            Standards Track                    [Page 17]
955 \f
956 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
957
958
959    Given the uniqueness requirements above, serial numbers can be
960    expected to contain long integers.  Certificate users MUST be able to
961    handle serialNumber values up to 20 octets.  Conformant CAs MUST NOT
962    use serialNumber values longer than 20 octets.
963
964    Note: Non-conforming CAs may issue certificates with serial numbers
965    that are negative, or zero.  Certificate users SHOULD be prepared to
966    gracefully handle such certificates.
967
968 4.1.2.3  Signature
969
970    This field contains the algorithm identifier for the algorithm used
971    by the CA to sign the certificate.
972
973    This field MUST contain the same algorithm identifier as the
974    signatureAlgorithm field in the sequence Certificate (section
975    4.1.1.2).  The contents of the optional parameters field will vary
976    according to the algorithm identified.  [PKIXALGS] lists the
977    supported signature algorithms, but other signature algorithms MAY
978    also be supported.
979
980 4.1.2.4  Issuer
981
982    The issuer field identifies the entity who has signed and issued the
983    certificate.  The issuer field MUST contain a non-empty distinguished
984    name (DN).  The issuer field is defined as the X.501 type Name
985    [X.501].  Name is defined by the following ASN.1 structures:
986
987    Name ::= CHOICE {
988      RDNSequence }
989
990    RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
991
992    RelativeDistinguishedName ::=
993      SET OF AttributeTypeAndValue
994
995    AttributeTypeAndValue ::= SEQUENCE {
996      type     AttributeType,
997      value    AttributeValue }
998
999    AttributeType ::= OBJECT IDENTIFIER
1000
1001    AttributeValue ::= ANY DEFINED BY AttributeType
1002
1003
1004
1005
1006
1007
1008
1009
1010 Housley, et. al.            Standards Track                    [Page 18]
1011 \f
1012 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1013
1014
1015    DirectoryString ::= CHOICE {
1016          teletexString           TeletexString (SIZE (1..MAX)),
1017          printableString         PrintableString (SIZE (1..MAX)),
1018          universalString         UniversalString (SIZE (1..MAX)),
1019          utf8String              UTF8String (SIZE (1..MAX)),
1020          bmpString               BMPString (SIZE (1..MAX)) }
1021
1022    The Name describes a hierarchical name composed of attributes, such
1023    as country name, and corresponding values, such as US.  The type of
1024    the component AttributeValue is determined by the AttributeType; in
1025    general it will be a DirectoryString.
1026
1027    The DirectoryString type is defined as a choice of PrintableString,
1028    TeletexString, BMPString, UTF8String, and UniversalString.  The
1029    UTF8String encoding [RFC 2279] is the preferred encoding, and all
1030    certificates issued after December 31, 2003 MUST use the UTF8String
1031    encoding of DirectoryString (except as noted below).  Until that
1032    date, conforming CAs MUST choose from the following options when
1033    creating a distinguished name, including their own:
1034
1035       (a)  if the character set is sufficient, the string MAY be
1036       represented as a PrintableString;
1037
1038       (b)  failing (a), if the BMPString character set is sufficient the
1039       string MAY be represented as a BMPString; and
1040
1041       (c)  failing (a) and (b), the string MUST be represented as a
1042       UTF8String.  If (a) or (b) is satisfied, the CA MAY still choose
1043       to represent the string as a UTF8String.
1044
1045    Exceptions to the December 31, 2003 UTF8 encoding requirements are as
1046    follows:
1047
1048       (a)  CAs MAY issue "name rollover" certificates to support an
1049       orderly migration to UTF8String encoding.  Such certificates would
1050       include the CA's UTF8String encoded name as issuer and and the old
1051       name encoding as subject, or vice-versa.
1052
1053       (b)  As stated in section 4.1.2.6, the subject field MUST be
1054       populated with a non-empty distinguished name matching the
1055       contents of the issuer field in all certificates issued by the
1056       subject CA regardless of encoding.
1057
1058    The TeletexString and UniversalString are included for backward
1059    compatibility, and SHOULD NOT be used for certificates for new
1060    subjects.  However, these types MAY be used in certificates where the
1061    name was previously established.  Certificate users SHOULD be
1062    prepared to receive certificates with these types.
1063
1064
1065
1066 Housley, et. al.            Standards Track                    [Page 19]
1067 \f
1068 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1069
1070
1071    In addition, many legacy implementations support names encoded in the
1072    ISO 8859-1 character set (Latin1String) [ISO 8859-1] but tag them as
1073    TeletexString.  TeletexString encodes a larger character set than ISO
1074    8859-1, but it encodes some characters differently.  Implementations
1075    SHOULD be prepared to handle both encodings.
1076
1077    As noted above, distinguished names are composed of attributes.  This
1078    specification does not restrict the set of attribute types that may
1079    appear in names.  However, conforming implementations MUST be
1080    prepared to receive certificates with issuer names containing the set
1081    of attribute types defined below.  This specification RECOMMENDS
1082    support for additional attribute types.
1083
1084    Standard sets of attributes have been defined in the X.500 series of
1085    specifications [X.520].  Implementations of this specification MUST
1086    be prepared to receive the following standard attribute types in
1087    issuer and subject (section 4.1.2.6) names:
1088
1089       * country,
1090       * organization,
1091       * organizational-unit,
1092       * distinguished name qualifier,
1093       * state or province name,
1094       * common name (e.g., "Susan Housley"), and
1095       * serial number.
1096
1097    In addition, implementations of this specification SHOULD be prepared
1098    to receive the following standard attribute types in issuer and
1099    subject names:
1100
1101       * locality,
1102       * title,
1103       * surname,
1104       * given name,
1105       * initials,
1106       * pseudonym, and
1107       * generation qualifier (e.g., "Jr.", "3rd", or "IV").
1108
1109    The syntax and associated object identifiers (OIDs) for these
1110    attribute types are provided in the ASN.1 modules in Appendix A.
1111
1112    In addition, implementations of this specification MUST be prepared
1113    to receive the domainComponent attribute, as defined in [RFC 2247].
1114    The Domain Name System (DNS) provides a hierarchical resource
1115    labeling system.  This attribute provides a convenient mechanism for
1116    organizations that wish to use DNs that parallel their DNS names.
1117    This is not a replacement for the dNSName component of the
1118
1119
1120
1121
1122 Housley, et. al.            Standards Track                    [Page 20]
1123 \f
1124 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1125
1126
1127    alternative name field.  Implementations are not required to convert
1128    such names into DNS names.  The syntax and associated OID for this
1129    attribute type is provided in the ASN.1 modules in Appendix A.
1130
1131    Certificate users MUST be prepared to process the issuer
1132    distinguished name and subject distinguished name (section 4.1.2.6)
1133    fields to perform name chaining for certification path validation
1134    (section 6).  Name chaining is performed by matching the issuer
1135    distinguished name in one certificate with the subject name in a CA
1136    certificate.
1137
1138    This specification requires only a subset of the name comparison
1139    functionality specified in the X.500 series of specifications.
1140    Conforming implementations are REQUIRED to implement the following
1141    name comparison rules:
1142
1143       (a)  attribute values encoded in different types (e.g.,
1144       PrintableString and BMPString) MAY be assumed to represent
1145       different strings;
1146
1147       (b) attribute values in types other than PrintableString are case
1148       sensitive (this permits matching of attribute values as binary
1149       objects);
1150
1151       (c)  attribute values in PrintableString are not case sensitive
1152       (e.g., "Marianne Swanson" is the same as "MARIANNE SWANSON"); and
1153
1154       (d)  attribute values in PrintableString are compared after
1155       removing leading and trailing white space and converting internal
1156       substrings of one or more consecutive white space characters to a
1157       single space.
1158
1159    These name comparison rules permit a certificate user to validate
1160    certificates issued using languages or encodings unfamiliar to the
1161    certificate user.
1162
1163    In addition, implementations of this specification MAY use these
1164    comparison rules to process unfamiliar attribute types for name
1165    chaining.  This allows implementations to process certificates with
1166    unfamiliar attributes in the issuer name.
1167
1168    Note that the comparison rules defined in the X.500 series of
1169    specifications indicate that the character sets used to encode data
1170    in distinguished names are irrelevant.  The characters themselves are
1171    compared without regard to encoding.  Implementations of this profile
1172    are permitted to use the comparison algorithm defined in the X.500
1173    series.  Such an implementation will recognize a superset of name
1174    matches recognized by the algorithm specified above.
1175
1176
1177
1178 Housley, et. al.            Standards Track                    [Page 21]
1179 \f
1180 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1181
1182
1183 4.1.2.5  Validity
1184
1185    The certificate validity period is the time interval during which the
1186    CA warrants that it will maintain information about the status of the
1187    certificate.  The field is represented as a SEQUENCE of two dates:
1188    the date on which the certificate validity period begins (notBefore)
1189    and the date on which the certificate validity period ends
1190    (notAfter).  Both notBefore and notAfter may be encoded as UTCTime or
1191    GeneralizedTime.
1192
1193    CAs conforming to this profile MUST always encode certificate
1194    validity dates through the year 2049 as UTCTime; certificate validity
1195    dates in 2050 or later MUST be encoded as GeneralizedTime.
1196
1197    The validity period for a certificate is the period of time from
1198    notBefore through notAfter, inclusive.
1199
1200 4.1.2.5.1  UTCTime
1201
1202    The universal time type, UTCTime, is a standard ASN.1 type intended
1203    for representation of dates and time.  UTCTime specifies the year
1204    through the two low order digits and time is specified to the
1205    precision of one minute or one second.  UTCTime includes either Z
1206    (for Zulu, or Greenwich Mean Time) or a time differential.
1207
1208    For the purposes of this profile, UTCTime values MUST be expressed
1209    Greenwich Mean Time (Zulu) and MUST include seconds (i.e., times are
1210    YYMMDDHHMMSSZ), even where the number of seconds is zero.  Conforming
1211    systems MUST interpret the year field (YY) as follows:
1212
1213       Where YY is greater than or equal to 50, the year SHALL be
1214       interpreted as 19YY; and
1215
1216       Where YY is less than 50, the year SHALL be interpreted as 20YY.
1217
1218 4.1.2.5.2  GeneralizedTime
1219
1220    The generalized time type, GeneralizedTime, is a standard ASN.1 type
1221    for variable precision representation of time.  Optionally, the
1222    GeneralizedTime field can include a representation of the time
1223    differential between local and Greenwich Mean Time.
1224
1225    For the purposes of this profile, GeneralizedTime values MUST be
1226    expressed Greenwich Mean Time (Zulu) and MUST include seconds (i.e.,
1227    times are YYYYMMDDHHMMSSZ), even where the number of seconds is zero.
1228    GeneralizedTime values MUST NOT include fractional seconds.
1229
1230
1231
1232
1233
1234 Housley, et. al.            Standards Track                    [Page 22]
1235 \f
1236 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1237
1238
1239 4.1.2.6  Subject
1240
1241    The subject field identifies the entity associated with the public
1242    key stored in the subject public key field.  The subject name MAY be
1243    carried in the subject field and/or the subjectAltName extension.  If
1244    the subject is a CA (e.g., the basic constraints extension, as
1245    discussed in 4.2.1.10, is present and the value of cA is TRUE), then
1246    the subject field MUST be populated with a non-empty distinguished
1247    name matching the contents of the issuer field (section 4.1.2.4) in
1248    all certificates issued by the subject CA.  If the subject is a CRL
1249    issuer (e.g., the key usage extension, as discussed in 4.2.1.3, is
1250    present and the value of cRLSign is TRUE) then the subject field MUST
1251    be populated with a non-empty distinguished name matching the
1252    contents of the issuer field (section 4.1.2.4) in all CRLs issued by
1253    the subject CRL issuer.  If subject naming information is present
1254    only in the subjectAltName extension (e.g., a key bound only to an
1255    email address or URI), then the subject name MUST be an empty
1256    sequence and the subjectAltName extension MUST be critical.
1257
1258    Where it is non-empty, the subject field MUST contain an X.500
1259    distinguished name (DN).  The DN MUST be unique for each subject
1260    entity certified by the one CA as defined by the issuer name field.
1261    A CA MAY issue more than one certificate with the same DN to the same
1262    subject entity.
1263
1264    The subject name field is defined as the X.501 type Name.
1265    Implementation requirements for this field are those defined for the
1266    issuer field (section 4.1.2.4).  When encoding attribute values of
1267    type DirectoryString, the encoding rules for the issuer field MUST be
1268    implemented.  Implementations of this specification MUST be prepared
1269    to receive subject names containing the attribute types required for
1270    the issuer field.  Implementations of this specification SHOULD be
1271    prepared to receive subject names containing the recommended
1272    attribute types for the issuer field.  The syntax and associated
1273    object identifiers (OIDs) for these attribute types are provided in
1274    the ASN.1 modules in Appendix A.  Implementations of this
1275    specification MAY use these comparison rules to process unfamiliar
1276    attribute types (i.e., for name chaining).  This allows
1277    implementations to process certificates with unfamiliar attributes in
1278    the subject name.
1279
1280    In addition, legacy implementations exist where an RFC 822 name is
1281    embedded in the subject distinguished name as an EmailAddress
1282    attribute.  The attribute value for EmailAddress is of type IA5String
1283    to permit inclusion of the character '@', which is not part of the
1284    PrintableString character set.  EmailAddress attribute values are not
1285    case sensitive (e.g., "fanfeedback@redsox.com" is the same as
1286    "FANFEEDBACK@REDSOX.COM").
1287
1288
1289
1290 Housley, et. al.            Standards Track                    [Page 23]
1291 \f
1292 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1293
1294
1295    Conforming implementations generating new certificates with
1296    electronic mail addresses MUST use the rfc822Name in the subject
1297    alternative name field (section 4.2.1.7) to describe such identities.
1298    Simultaneous inclusion of the EmailAddress attribute in the subject
1299    distinguished name to support legacy implementations is deprecated
1300    but permitted.
1301
1302 4.1.2.7  Subject Public Key Info
1303
1304    This field is used to carry the public key and identify the algorithm
1305    with which the key is used (e.g., RSA, DSA, or Diffie-Hellman).  The
1306    algorithm is identified using the AlgorithmIdentifier structure
1307    specified in section 4.1.1.2.  The object identifiers for the
1308    supported algorithms and the methods for encoding the public key
1309    materials (public key and parameters) are specified in [PKIXALGS].
1310
1311 4.1.2.8  Unique Identifiers
1312
1313    These fields MUST only appear if the version is 2 or 3 (section
1314    4.1.2.1).  These fields MUST NOT appear if the version is 1.  The
1315    subject and issuer unique identifiers are present in the certificate
1316    to handle the possibility of reuse of subject and/or issuer names
1317    over time.  This profile RECOMMENDS that names not be reused for
1318    different entities and that Internet certificates not make use of
1319    unique identifiers.  CAs conforming to this profile SHOULD NOT
1320    generate certificates with unique identifiers.  Applications
1321    conforming to this profile SHOULD be capable of parsing unique
1322    identifiers.
1323
1324 4.1.2.9  Extensions
1325
1326    This field MUST only appear if the version is 3 (section 4.1.2.1).
1327    If present, this field is a SEQUENCE of one or more certificate
1328    extensions.  The format and content of certificate extensions in the
1329    Internet PKI is defined in section 4.2.
1330
1331 4.2  Certificate Extensions
1332
1333    The extensions defined for X.509 v3 certificates provide methods for
1334    associating additional attributes with users or public keys and for
1335    managing a certification hierarchy.  The X.509 v3 certificate format
1336    also allows communities to define private extensions to carry
1337    information unique to those communities.  Each extension in a
1338    certificate is designated as either critical or non-critical.  A
1339    certificate using system MUST reject the certificate if it encounters
1340    a critical extension it does not recognize; however, a non-critical
1341    extension MAY be ignored if it is not recognized.  The following
1342    sections present recommended extensions used within Internet
1343
1344
1345
1346 Housley, et. al.            Standards Track                    [Page 24]
1347 \f
1348 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1349
1350
1351    certificates and standard locations for information.  Communities may
1352    elect to use additional extensions; however, caution ought to be
1353    exercised in adopting any critical extensions in certificates which
1354    might prevent use in a general context.
1355
1356    Each extension includes an OID and an ASN.1 structure.  When an
1357    extension appears in a certificate, the OID appears as the field
1358    extnID and the corresponding ASN.1 encoded structure is the value of
1359    the octet string extnValue.  A certificate MUST NOT include more than
1360    one instance of a particular extension.  For example, a certificate
1361    may contain only one authority key identifier extension (section
1362    4.2.1.1).  An extension includes the boolean critical, with a default
1363    value of FALSE.  The text for each extension specifies the acceptable
1364    values for the critical field.
1365
1366    Conforming CAs MUST support key identifiers (sections 4.2.1.1 and
1367    4.2.1.2), basic constraints (section 4.2.1.10), key usage (section
1368    4.2.1.3), and certificate policies (section 4.2.1.5) extensions.  If
1369    the CA issues certificates with an empty sequence for the subject
1370    field, the CA MUST support the subject alternative name extension
1371    (section 4.2.1.7).  Support for the remaining extensions is OPTIONAL.
1372    Conforming CAs MAY support extensions that are not identified within
1373    this specification; certificate issuers are cautioned that marking
1374    such extensions as critical may inhibit interoperability.
1375
1376    At a minimum, applications conforming to this profile MUST recognize
1377    the following extensions: key usage (section 4.2.1.3), certificate
1378    policies (section 4.2.1.5), the subject alternative name (section
1379    4.2.1.7), basic constraints (section 4.2.1.10), name constraints
1380    (section 4.2.1.11), policy constraints (section 4.2.1.12), extended
1381    key usage (section 4.2.1.13), and inhibit any-policy (section
1382    4.2.1.15).
1383
1384    In addition, applications conforming to this profile SHOULD recognize
1385    the authority and subject key identifier (sections 4.2.1.1 and
1386    4.2.1.2), and policy mapping (section 4.2.1.6) extensions.
1387
1388 4.2.1  Standard Extensions
1389
1390    This section identifies standard certificate extensions defined in
1391    [X.509] for use in the Internet PKI.  Each extension is associated
1392    with an OID defined in [X.509].  These OIDs are members of the id-ce
1393    arc, which is defined by the following:
1394
1395    id-ce   OBJECT IDENTIFIER ::=  { joint-iso-ccitt(2) ds(5) 29 }
1396
1397
1398
1399
1400
1401
1402 Housley, et. al.            Standards Track                    [Page 25]
1403 \f
1404 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1405
1406
1407 4.2.1.1  Authority Key Identifier
1408
1409    The authority key identifier extension provides a means of
1410    identifying the public key corresponding to the private key used to
1411    sign a certificate.  This extension is used where an issuer has
1412    multiple signing keys (either due to multiple concurrent key pairs or
1413    due to changeover).  The identification MAY be based on either the
1414    key identifier (the subject key identifier in the issuer's
1415    certificate) or on the issuer name and serial number.
1416
1417    The keyIdentifier field of the authorityKeyIdentifier extension MUST
1418    be included in all certificates generated by conforming CAs to
1419    facilitate certification path construction.  There is one exception;
1420    where a CA distributes its public key in the form of a "self-signed"
1421    certificate, the authority key identifier MAY be omitted.  The
1422    signature on a self-signed certificate is generated with the private
1423    key associated with the certificate's subject public key.  (This
1424    proves that the issuer possesses both the public and private keys.)
1425    In this case, the subject and authority key identifiers would be
1426    identical, but only the subject key identifier is needed for
1427    certification path building.
1428
1429    The value of the keyIdentifier field SHOULD be derived from the
1430    public key used to verify the certificate's signature or a method
1431    that generates unique values.  Two common methods for generating key
1432    identifiers from the public key, and one common method for generating
1433    unique values, are described in section 4.2.1.2.  Where a key
1434    identifier has not been previously established, this specification
1435    RECOMMENDS use of one of these methods for generating keyIdentifiers.
1436    Where a key identifier has been previously established, the CA SHOULD
1437    use the previously established identifier.
1438
1439    This profile RECOMMENDS support for the key identifier method by all
1440    certificate users.
1441
1442    This extension MUST NOT be marked critical.
1443
1444    id-ce-authorityKeyIdentifier OBJECT IDENTIFIER ::=  { id-ce 35 }
1445
1446    AuthorityKeyIdentifier ::= SEQUENCE {
1447       keyIdentifier             [0] KeyIdentifier           OPTIONAL,
1448       authorityCertIssuer       [1] GeneralNames            OPTIONAL,
1449       authorityCertSerialNumber [2] CertificateSerialNumber OPTIONAL  }
1450
1451    KeyIdentifier ::= OCTET STRING
1452
1453
1454
1455
1456
1457
1458 Housley, et. al.            Standards Track                    [Page 26]
1459 \f
1460 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1461
1462
1463 4.2.1.2  Subject Key Identifier
1464
1465    The subject key identifier extension provides a means of identifying
1466    certificates that contain a particular public key.
1467
1468    To facilitate certification path construction, this extension MUST
1469    appear in all conforming CA certificates, that is, all certificates
1470    including the basic constraints extension (section 4.2.1.10) where
1471    the value of cA is TRUE.  The value of the subject key identifier
1472    MUST be the value placed in the key identifier field of the Authority
1473    Key Identifier extension (section 4.2.1.1) of certificates issued by
1474    the subject of this certificate.
1475
1476    For CA certificates, subject key identifiers SHOULD be derived from
1477    the public key or a method that generates unique values.  Two common
1478    methods for generating key identifiers from the public key are:
1479
1480       (1) The keyIdentifier is composed of the 160-bit SHA-1 hash of the
1481       value of the BIT STRING subjectPublicKey (excluding the tag,
1482       length, and number of unused bits).
1483
1484       (2) The keyIdentifier is composed of a four bit type field with
1485       the value 0100 followed by the least significant 60 bits of the
1486       SHA-1 hash of the value of the BIT STRING subjectPublicKey
1487       (excluding the tag, length, and number of unused bit string bits).
1488
1489    One common method for generating unique values is a monotonically
1490    increasing sequence of integers.
1491
1492    For end entity certificates, the subject key identifier extension
1493    provides a means for identifying certificates containing the
1494    particular public key used in an application.  Where an end entity
1495    has obtained multiple certificates, especially from multiple CAs, the
1496    subject key identifier provides a means to quickly identify the set
1497    of certificates containing a particular public key.  To assist
1498    applications in identifying the appropriate end entity certificate,
1499    this extension SHOULD be included in all end entity certificates.
1500
1501    For end entity certificates, subject key identifiers SHOULD be
1502    derived from the public key.  Two common methods for generating key
1503    identifiers from the public key are identified above.
1504
1505    Where a key identifier has not been previously established, this
1506    specification RECOMMENDS use of one of these methods for generating
1507    keyIdentifiers.  Where a key identifier has been previously
1508    established, the CA SHOULD use the previously established identifier.
1509
1510    This extension MUST NOT be marked critical.
1511
1512
1513
1514 Housley, et. al.            Standards Track                    [Page 27]
1515 \f
1516 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1517
1518
1519    id-ce-subjectKeyIdentifier OBJECT IDENTIFIER ::=  { id-ce 14 }
1520
1521    SubjectKeyIdentifier ::= KeyIdentifier
1522
1523 4.2.1.3  Key Usage
1524
1525    The key usage extension defines the purpose (e.g., encipherment,
1526    signature, certificate signing) of the key contained in the
1527    certificate.  The usage restriction might be employed when a key that
1528    could be used for more than one operation is to be restricted.  For
1529    example, when an RSA key should be used only to verify signatures on
1530    objects other than public key certificates and CRLs, the
1531    digitalSignature and/or nonRepudiation bits would be asserted.
1532    Likewise, when an RSA key should be used only for key management, the
1533    keyEncipherment bit would be asserted.
1534
1535    This extension MUST appear in certificates that contain public keys
1536    that are used to validate digital signatures on other public key
1537    certificates or CRLs.  When this extension appears, it SHOULD be
1538    marked critical.
1539
1540       id-ce-keyUsage OBJECT IDENTIFIER ::=  { id-ce 15 }
1541
1542       KeyUsage ::= BIT STRING {
1543            digitalSignature        (0),
1544            nonRepudiation          (1),
1545            keyEncipherment         (2),
1546            dataEncipherment        (3),
1547            keyAgreement            (4),
1548            keyCertSign             (5),
1549            cRLSign                 (6),
1550            encipherOnly            (7),
1551            decipherOnly            (8) }
1552
1553    Bits in the KeyUsage type are used as follows:
1554
1555       The digitalSignature bit is asserted when the subject public key
1556       is used with a digital signature mechanism to support security
1557       services other than certificate signing (bit 5), or CRL signing
1558       (bit 6).  Digital signature mechanisms are often used for entity
1559       authentication and data origin authentication with integrity.
1560
1561       The nonRepudiation bit is asserted when the subject public key is
1562       used to verify digital signatures used to provide a non-
1563       repudiation service which protects against the signing entity
1564       falsely denying some action, excluding certificate or CRL signing.
1565       In the case of later conflict, a reliable third party may
1566       determine the authenticity of the signed data.
1567
1568
1569
1570 Housley, et. al.            Standards Track                    [Page 28]
1571 \f
1572 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1573
1574
1575       Further distinctions between the digitalSignature and
1576       nonRepudiation bits may be provided in specific certificate
1577       policies.
1578
1579       The keyEncipherment bit is asserted when the subject public key is
1580       used for key transport.  For example, when an RSA key is to be
1581       used for key management, then this bit is set.
1582
1583       The dataEncipherment bit is asserted when the subject public key
1584       is used for enciphering user data, other than cryptographic keys.
1585
1586       The keyAgreement bit is asserted when the subject public key is
1587       used for key agreement.  For example, when a Diffie-Hellman key is
1588       to be used for key management, then this bit is set.
1589
1590       The keyCertSign bit is asserted when the subject public key is
1591       used for verifying a signature on public key certificates.  If the
1592       keyCertSign bit is asserted, then the cA bit in the basic
1593       constraints extension (section 4.2.1.10) MUST also be asserted.
1594
1595       The cRLSign bit is asserted when the subject public key is used
1596       for verifying a signature on certificate revocation list (e.g., a
1597       CRL, delta CRL, or an ARL).  This bit MUST be asserted in
1598       certificates that are used to verify signatures on CRLs.
1599
1600       The meaning of the encipherOnly bit is undefined in the absence of
1601       the keyAgreement bit.  When the encipherOnly bit is asserted and
1602       the keyAgreement bit is also set, the subject public key may be
1603       used only for enciphering data while performing key agreement.
1604
1605       The meaning of the decipherOnly bit is undefined in the absence of
1606       the keyAgreement bit.  When the decipherOnly bit is asserted and
1607       the keyAgreement bit is also set, the subject public key may be
1608       used only for deciphering data while performing key agreement.
1609
1610    This profile does not restrict the combinations of bits that may be
1611    set in an instantiation of the keyUsage extension.  However,
1612    appropriate values for keyUsage extensions for particular algorithms
1613    are specified in [PKIXALGS].
1614
1615 4.2.1.4  Private Key Usage Period
1616
1617    This extension SHOULD NOT be used within the Internet PKI.  CAs
1618    conforming to this profile MUST NOT generate certificates that
1619    include a critical private key usage period extension.
1620
1621
1622
1623
1624
1625
1626 Housley, et. al.            Standards Track                    [Page 29]
1627 \f
1628 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1629
1630
1631    The private key usage period extension allows the certificate issuer
1632    to specify a different validity period for the private key than the
1633    certificate.  This extension is intended for use with digital
1634    signature keys.  This extension consists of two optional components,
1635    notBefore and notAfter.  The private key associated with the
1636    certificate SHOULD NOT be used to sign objects before or after the
1637    times specified by the two components, respectively.  CAs conforming
1638    to this profile MUST NOT generate certificates with private key usage
1639    period extensions unless at least one of the two components is
1640    present and the extension is non-critical.
1641
1642    Where used, notBefore and notAfter are represented as GeneralizedTime
1643    and MUST be specified and interpreted as defined in section
1644    4.1.2.5.2.
1645
1646    id-ce-privateKeyUsagePeriod OBJECT IDENTIFIER ::=  { id-ce 16 }
1647
1648    PrivateKeyUsagePeriod ::= SEQUENCE {
1649         notBefore       [0]     GeneralizedTime OPTIONAL,
1650         notAfter        [1]     GeneralizedTime OPTIONAL }
1651
1652 4.2.1.5  Certificate Policies
1653
1654    The certificate policies extension contains a sequence of one or more
1655    policy information terms, each of which consists of an object
1656    identifier (OID) and optional qualifiers.  Optional qualifiers, which
1657    MAY be present, are not expected to change the definition of the
1658    policy.
1659
1660    In an end entity certificate, these policy information terms indicate
1661    the policy under which the certificate has been issued and the
1662    purposes for which the certificate may be used.  In a CA certificate,
1663    these policy information terms limit the set of policies for
1664    certification paths which include this certificate.  When a CA does
1665    not wish to limit the set of policies for certification paths which
1666    include this certificate, it MAY assert the special policy anyPolicy,
1667    with a value of { 2 5 29 32 0 }.
1668
1669    Applications with specific policy requirements are expected to have a
1670    list of those policies which they will accept and to compare the
1671    policy OIDs in the certificate to that list.  If this extension is
1672    critical, the path validation software MUST be able to interpret this
1673    extension (including the optional qualifier), or MUST reject the
1674    certificate.
1675
1676    To promote interoperability, this profile RECOMMENDS that policy
1677    information terms consist of only an OID.  Where an OID alone is
1678    insufficient, this profile strongly recommends that use of qualifiers
1679
1680
1681
1682 Housley, et. al.            Standards Track                    [Page 30]
1683 \f
1684 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1685
1686
1687    be limited to those identified in this section.  When qualifiers are
1688    used with the special policy anyPolicy, they MUST be limited to the
1689    qualifiers identified in this section.
1690
1691    This specification defines two policy qualifier types for use by
1692    certificate policy writers and certificate issuers.  The qualifier
1693    types are the CPS Pointer and User Notice qualifiers.
1694
1695    The CPS Pointer qualifier contains a pointer to a Certification
1696    Practice Statement (CPS) published by the CA.  The pointer is in the
1697    form of a URI.  Processing requirements for this qualifier are a
1698    local matter.  No action is mandated by this specification regardless
1699    of the criticality value asserted for the extension.
1700
1701    User notice is intended for display to a relying party when a
1702    certificate is used.  The application software SHOULD display all
1703    user notices in all certificates of the certification path used,
1704    except that if a notice is duplicated only one copy need be
1705    displayed.  To prevent such duplication, this qualifier SHOULD only
1706    be present in end entity certificates and CA certificates issued to
1707    other organizations.
1708
1709    The user notice has two optional fields: the noticeRef field and the
1710    explicitText field.
1711
1712       The noticeRef field, if used, names an organization and
1713       identifies, by number, a particular textual statement prepared by
1714       that organization.  For example, it might identify the
1715       organization "CertsRUs" and notice number 1.  In a typical
1716       implementation, the application software will have a notice file
1717       containing the current set of notices for CertsRUs; the
1718       application will extract the notice text from the file and display
1719       it.  Messages MAY be multilingual, allowing the software to select
1720       the particular language message for its own environment.
1721
1722       An explicitText field includes the textual statement directly in
1723       the certificate.  The explicitText field is a string with a
1724       maximum size of 200 characters.
1725
1726    If both the noticeRef and explicitText options are included in the
1727    one qualifier and if the application software can locate the notice
1728    text indicated by the noticeRef option, then that text SHOULD be
1729    displayed; otherwise, the explicitText string SHOULD be displayed.
1730
1731    Note: While the explicitText has a maximum size of 200 characters,
1732    some non-conforming CAs exceed this limit.  Therefore, certificate
1733    users SHOULD gracefully handle explicitText with more than 200
1734    characters.
1735
1736
1737
1738 Housley, et. al.            Standards Track                    [Page 31]
1739 \f
1740 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1741
1742
1743    id-ce-certificatePolicies OBJECT IDENTIFIER ::=  { id-ce 32 }
1744
1745    anyPolicy OBJECT IDENTIFIER ::= { id-ce-certificate-policies 0 }
1746
1747    certificatePolicies ::= SEQUENCE SIZE (1..MAX) OF PolicyInformation
1748
1749    PolicyInformation ::= SEQUENCE {
1750         policyIdentifier   CertPolicyId,
1751         policyQualifiers   SEQUENCE SIZE (1..MAX) OF
1752                                 PolicyQualifierInfo OPTIONAL }
1753
1754    CertPolicyId ::= OBJECT IDENTIFIER
1755
1756    PolicyQualifierInfo ::= SEQUENCE {
1757         policyQualifierId  PolicyQualifierId,
1758         qualifier          ANY DEFINED BY policyQualifierId }
1759
1760    -- policyQualifierIds for Internet policy qualifiers
1761
1762    id-qt          OBJECT IDENTIFIER ::=  { id-pkix 2 }
1763    id-qt-cps      OBJECT IDENTIFIER ::=  { id-qt 1 }
1764    id-qt-unotice  OBJECT IDENTIFIER ::=  { id-qt 2 }
1765
1766    PolicyQualifierId ::=
1767         OBJECT IDENTIFIER ( id-qt-cps | id-qt-unotice )
1768
1769    Qualifier ::= CHOICE {
1770         cPSuri           CPSuri,
1771         userNotice       UserNotice }
1772
1773    CPSuri ::= IA5String
1774
1775    UserNotice ::= SEQUENCE {
1776         noticeRef        NoticeReference OPTIONAL,
1777         explicitText     DisplayText OPTIONAL}
1778
1779    NoticeReference ::= SEQUENCE {
1780         organization     DisplayText,
1781         noticeNumbers    SEQUENCE OF INTEGER }
1782
1783    DisplayText ::= CHOICE {
1784         ia5String        IA5String      (SIZE (1..200)),
1785         visibleString    VisibleString  (SIZE (1..200)),
1786         bmpString        BMPString      (SIZE (1..200)),
1787         utf8String       UTF8String     (SIZE (1..200)) }
1788
1789
1790
1791
1792
1793
1794 Housley, et. al.            Standards Track                    [Page 32]
1795 \f
1796 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1797
1798
1799 4.2.1.6  Policy Mappings
1800
1801    This extension is used in CA certificates.  It lists one or more
1802    pairs of OIDs; each pair includes an issuerDomainPolicy and a
1803    subjectDomainPolicy.  The pairing indicates the issuing CA considers
1804    its issuerDomainPolicy equivalent to the subject CA's
1805    subjectDomainPolicy.
1806
1807    The issuing CA's users might accept an issuerDomainPolicy for certain
1808    applications.  The policy mapping defines the list of policies
1809    associated with the subject CA that may be accepted as comparable to
1810    the issuerDomainPolicy.
1811
1812    Each issuerDomainPolicy named in the policy mapping extension SHOULD
1813    also be asserted in a certificate policies extension in the same
1814    certificate.  Policies SHOULD NOT be mapped either to or from the
1815    special value anyPolicy (section 4.2.1.5).
1816
1817    This extension MAY be supported by CAs and/or applications, and it
1818    MUST be non-critical.
1819
1820    id-ce-policyMappings OBJECT IDENTIFIER ::=  { id-ce 33 }
1821
1822    PolicyMappings ::= SEQUENCE SIZE (1..MAX) OF SEQUENCE {
1823         issuerDomainPolicy      CertPolicyId,
1824         subjectDomainPolicy     CertPolicyId }
1825
1826 4.2.1.7  Subject Alternative Name
1827
1828    The subject alternative names extension allows additional identities
1829    to be bound to the subject of the certificate.  Defined options
1830    include an Internet electronic mail address, a DNS name, an IP
1831    address, and a uniform resource identifier (URI).  Other options
1832    exist, including completely local definitions.  Multiple name forms,
1833    and multiple instances of each name form, MAY be included.  Whenever
1834    such identities are to be bound into a certificate, the subject
1835    alternative name (or issuer alternative name) extension MUST be used;
1836    however, a DNS name MAY be represented in the subject field using the
1837    domainComponent attribute as described in section 4.1.2.4.
1838
1839    Because the subject alternative name is considered to be definitively
1840    bound to the public key, all parts of the subject alternative name
1841    MUST be verified by the CA.
1842
1843    Further, if the only subject identity included in the certificate is
1844    an alternative name form (e.g., an electronic mail address), then the
1845    subject distinguished name MUST be empty (an empty sequence), and the
1846
1847
1848
1849
1850 Housley, et. al.            Standards Track                    [Page 33]
1851 \f
1852 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1853
1854
1855    subjectAltName extension MUST be present.  If the subject field
1856    contains an empty sequence, the subjectAltName extension MUST be
1857    marked critical.
1858
1859    When the subjectAltName extension contains an Internet mail address,
1860    the address MUST be included as an rfc822Name.  The format of an
1861    rfc822Name is an "addr-spec" as defined in RFC 822 [RFC 822].  An
1862    addr-spec has the form "local-part@domain".  Note that an addr-spec
1863    has no phrase (such as a common name) before it, has no comment (text
1864    surrounded in parentheses) after it, and is not surrounded by "<" and
1865    ">".  Note that while upper and lower case letters are allowed in an
1866    RFC 822 addr-spec, no significance is attached to the case.
1867
1868    When the subjectAltName extension contains a iPAddress, the address
1869    MUST be stored in the octet string in "network byte order," as
1870    specified in RFC 791 [RFC 791].  The least significant bit (LSB) of
1871    each octet is the LSB of the corresponding byte in the network
1872    address.  For IP Version 4, as specified in RFC 791, the octet string
1873    MUST contain exactly four octets.  For IP Version 6, as specified in
1874    RFC 1883, the octet string MUST contain exactly sixteen octets [RFC
1875    1883].
1876
1877    When the subjectAltName extension contains a domain name system
1878    label, the domain name MUST be stored in the dNSName (an IA5String).
1879    The name MUST be in the "preferred name syntax," as specified by RFC
1880    1034 [RFC 1034].  Note that while upper and lower case letters are
1881    allowed in domain names, no signifigance is attached to the case.  In
1882    addition, while the string " " is a legal domain name, subjectAltName
1883    extensions with a dNSName of " " MUST NOT be used.  Finally, the use
1884    of the DNS representation for Internet mail addresses (wpolk.nist.gov
1885    instead of wpolk@nist.gov) MUST NOT be used; such identities are to
1886    be encoded as rfc822Name.
1887
1888    Note: work is currently underway to specify domain names in
1889    international character sets.  Such names will likely not be
1890    accommodated by IA5String.  Once this work is complete, this profile
1891    will be revisited and the appropriate functionality will be added.
1892
1893    When the subjectAltName extension contains a URI, the name MUST be
1894    stored in the uniformResourceIdentifier (an IA5String).  The name
1895    MUST NOT be a relative URL, and it MUST follow the URL syntax and
1896    encoding rules specified in [RFC 1738].  The name MUST include both a
1897    scheme (e.g., "http" or "ftp") and a scheme-specific-part.  The
1898    scheme-specific-part MUST include a fully qualified domain name or IP
1899    address as the host.
1900
1901
1902
1903
1904
1905
1906 Housley, et. al.            Standards Track                    [Page 34]
1907 \f
1908 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1909
1910
1911    As specified in [RFC 1738], the scheme name is not case-sensitive
1912    (e.g., "http" is equivalent to "HTTP").  The host part is also not
1913    case-sensitive, but other components of the scheme-specific-part may
1914    be case-sensitive.  When comparing URIs, conforming implementations
1915    MUST compare the scheme and host without regard to case, but assume
1916    the remainder of the scheme-specific-part is case sensitive.
1917
1918    When the subjectAltName extension contains a DN in the directoryName,
1919    the DN MUST be unique for each subject entity certified by the one CA
1920    as defined by the issuer name field.  A CA MAY issue more than one
1921    certificate with the same DN to the same subject entity.
1922
1923    The subjectAltName MAY carry additional name types through the use of
1924    the otherName field.  The format and semantics of the name are
1925    indicated through the OBJECT IDENTIFIER in the type-id field.  The
1926    name itself is conveyed as value field in otherName.  For example,
1927    Kerberos [RFC 1510] format names can be encoded into the otherName,
1928    using using a Kerberos 5 principal name OID and a SEQUENCE of the
1929    Realm and the PrincipalName.
1930
1931    Subject alternative names MAY be constrained in the same manner as
1932    subject distinguished names using the name constraints extension as
1933    described in section 4.2.1.11.
1934
1935    If the subjectAltName extension is present, the sequence MUST contain
1936    at least one entry.  Unlike the subject field, conforming CAs MUST
1937    NOT issue certificates with subjectAltNames containing empty
1938    GeneralName fields.  For example, an rfc822Name is represented as an
1939    IA5String.  While an empty string is a valid IA5String, such an
1940    rfc822Name is not permitted by this profile.  The behavior of clients
1941    that encounter such a certificate when processing a certificication
1942    path is not defined by this profile.
1943
1944    Finally, the semantics of subject alternative names that include
1945    wildcard characters (e.g., as a placeholder for a set of names) are
1946    not addressed by this specification.  Applications with specific
1947    requirements MAY use such names, but they must define the semantics.
1948
1949    id-ce-subjectAltName OBJECT IDENTIFIER ::=  { id-ce 17 }
1950
1951    SubjectAltName ::= GeneralNames
1952
1953    GeneralNames ::= SEQUENCE SIZE (1..MAX) OF GeneralName
1954
1955
1956
1957
1958
1959
1960
1961
1962 Housley, et. al.            Standards Track                    [Page 35]
1963 \f
1964 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
1965
1966
1967    GeneralName ::= CHOICE {
1968         otherName                       [0]     OtherName,
1969         rfc822Name                      [1]     IA5String,
1970         dNSName                         [2]     IA5String,
1971         x400Address                     [3]     ORAddress,
1972         directoryName                   [4]     Name,
1973         ediPartyName                    [5]     EDIPartyName,
1974         uniformResourceIdentifier       [6]     IA5String,
1975         iPAddress                       [7]     OCTET STRING,
1976         registeredID                    [8]     OBJECT IDENTIFIER }
1977
1978    OtherName ::= SEQUENCE {
1979         type-id    OBJECT IDENTIFIER,
1980         value      [0] EXPLICIT ANY DEFINED BY type-id }
1981
1982    EDIPartyName ::= SEQUENCE {
1983         nameAssigner            [0]     DirectoryString OPTIONAL,
1984         partyName               [1]     DirectoryString }
1985
1986 4.2.1.8  Issuer Alternative Names
1987
1988    As with 4.2.1.7, this extension is used to associate Internet style
1989    identities with the certificate issuer.  Issuer alternative names
1990    MUST be encoded as in 4.2.1.7.
1991
1992    Where present, this extension SHOULD NOT be marked critical.
1993
1994    id-ce-issuerAltName OBJECT IDENTIFIER ::=  { id-ce 18 }
1995
1996    IssuerAltName ::= GeneralNames
1997
1998 4.2.1.9  Subject Directory Attributes
1999
2000    The subject directory attributes extension is used to convey
2001    identification attributes (e.g., nationality) of the subject.  The
2002    extension is defined as a sequence of one or more attributes.  This
2003    extension MUST be non-critical.
2004
2005    id-ce-subjectDirectoryAttributes OBJECT IDENTIFIER ::=  { id-ce 9 }
2006
2007    SubjectDirectoryAttributes ::= SEQUENCE SIZE (1..MAX) OF Attribute
2008
2009 4.2.1.10  Basic Constraints
2010
2011    The basic constraints extension identifies whether the subject of the
2012    certificate is a CA and the maximum depth of valid certification
2013    paths that include this certificate.
2014
2015
2016
2017
2018 Housley, et. al.            Standards Track                    [Page 36]
2019 \f
2020 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2021
2022
2023    The cA boolean indicates whether the certified public key belongs to
2024    a CA.  If the cA boolean is not asserted, then the keyCertSign bit in
2025    the key usage extension MUST NOT be asserted.
2026
2027    The pathLenConstraint field is meaningful only if the cA boolean is
2028    asserted and the key usage extension asserts the keyCertSign bit
2029    (section 4.2.1.3).  In this case, it gives the maximum number of non-
2030    self-issued intermediate certificates that may follow this
2031    certificate in a valid certification path.  A certificate is self-
2032    issued if the DNs that appear in the subject and issuer fields are
2033    identical and are not empty.  (Note: The last certificate in the
2034    certification path is not an intermediate certificate, and is not
2035    included in this limit.  Usually, the last certificate is an end
2036    entity certificate, but it can be a CA certificate.)  A
2037    pathLenConstraint of zero indicates that only one more certificate
2038    may follow in a valid certification path.  Where it appears, the
2039    pathLenConstraint field MUST be greater than or equal to zero.  Where
2040    pathLenConstraint does not appear, no limit is imposed.
2041
2042    This extension MUST appear as a critical extension in all CA
2043    certificates that contain public keys used to validate digital
2044    signatures on certificates.  This extension MAY appear as a critical
2045    or non-critical extension in CA certificates that contain public keys
2046    used exclusively for purposes other than validating digital
2047    signatures on certificates.  Such CA certificates include ones that
2048    contain public keys used exclusively for validating digital
2049    signatures on CRLs and ones that contain key management public keys
2050    used with certificate enrollment protocols.  This extension MAY
2051    appear as a critical or non-critical extension in end entity
2052    certificates.
2053
2054    CAs MUST NOT include the pathLenConstraint field unless the cA
2055    boolean is asserted and the key usage extension asserts the
2056    keyCertSign bit.
2057
2058    id-ce-basicConstraints OBJECT IDENTIFIER ::=  { id-ce 19 }
2059
2060    BasicConstraints ::= SEQUENCE {
2061         cA                      BOOLEAN DEFAULT FALSE,
2062         pathLenConstraint       INTEGER (0..MAX) OPTIONAL }
2063
2064 4.2.1.11  Name Constraints
2065
2066    The name constraints extension, which MUST be used only in a CA
2067    certificate, indicates a name space within which all subject names in
2068    subsequent certificates in a certification path MUST be located.
2069    Restrictions apply to the subject distinguished name and apply to
2070    subject alternative names.  Restrictions apply only when the
2071
2072
2073
2074 Housley, et. al.            Standards Track                    [Page 37]
2075 \f
2076 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2077
2078
2079    specified name form is present.  If no name of the type is in the
2080    certificate, the certificate is acceptable.
2081
2082    Name constraints are not applied to certificates whose issuer and
2083    subject are identical (unless the certificate is the final
2084    certificate in the path).  (This could prevent CAs that use name
2085    constraints from employing self-issued certificates to implement key
2086    rollover.)
2087
2088    Restrictions are defined in terms of permitted or excluded name
2089    subtrees.  Any name matching a restriction in the excludedSubtrees
2090    field is invalid regardless of information appearing in the
2091    permittedSubtrees.  This extension MUST be critical.
2092
2093    Within this profile, the minimum and maximum fields are not used with
2094    any name forms, thus minimum MUST be zero, and maximum MUST be
2095    absent.
2096
2097    For URIs, the constraint applies to the host part of the name.  The
2098    constraint MAY specify a host or a domain.  Examples would be
2099    "foo.bar.com";  and ".xyz.com".  When the the constraint begins with
2100    a period, it MAY be expanded with one or more subdomains.  That is,
2101    the constraint ".xyz.com" is satisfied by both abc.xyz.com and
2102    abc.def.xyz.com.  However, the constraint ".xyz.com" is not satisfied
2103    by "xyz.com".  When the constraint does not begin with a period, it
2104    specifies a host.
2105
2106    A name constraint for Internet mail addresses MAY specify a
2107    particular mailbox, all addresses at a particular host, or all
2108    mailboxes in a domain.  To indicate a particular mailbox, the
2109    constraint is the complete mail address.  For example, "root@xyz.com"
2110    indicates the root mailbox on the host "xyz.com".  To indicate all
2111    Internet mail addresses on a particular host, the constraint is
2112    specified as the host name.  For example, the constraint "xyz.com" is
2113    satisfied by any mail address at the host "xyz.com".  To specify any
2114    address within a domain, the constraint is specified with a leading
2115    period (as with URIs).  For example, ".xyz.com" indicates all the
2116    Internet mail addresses in the domain "xyz.com", but not Internet
2117    mail addresses on the host "xyz.com".
2118
2119    DNS name restrictions are expressed as foo.bar.com.  Any DNS name
2120    that can be constructed by simply adding to the left hand side of the
2121    name satisfies the name constraint.  For example, www.foo.bar.com
2122    would satisfy the constraint but foo1.bar.com would not.
2123
2124    Legacy implementations exist where an RFC 822 name is embedded in the
2125    subject distinguished name in an attribute of type EmailAddress
2126    (section 4.1.2.6).  When rfc822 names are constrained, but the
2127
2128
2129
2130 Housley, et. al.            Standards Track                    [Page 38]
2131 \f
2132 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2133
2134
2135    certificate does not include a subject alternative name, the rfc822
2136    name constraint MUST be applied to the attribute of type EmailAddress
2137    in the subject distinguished name.  The ASN.1 syntax for EmailAddress
2138    and the corresponding OID are supplied in Appendix A.
2139
2140    Restrictions of the form directoryName MUST be applied to the subject
2141    field in the certificate and to the subjectAltName extensions of type
2142    directoryName.  Restrictions of the form x400Address MUST be applied
2143    to subjectAltName extensions of type x400Address.
2144
2145    When applying restrictions of the form directoryName, an
2146    implementation MUST compare DN attributes.  At a minimum,
2147    implementations MUST perform the DN comparison rules specified in
2148    Section 4.1.2.4.  CAs issuing certificates with a restriction of the
2149    form directoryName SHOULD NOT rely on implementation of the full ISO
2150    DN name comparison algorithm.  This implies name restrictions MUST be
2151    stated identically to the encoding used in the subject field or
2152    subjectAltName extension.
2153
2154    The syntax of iPAddress MUST be as described in section 4.2.1.7 with
2155    the following additions specifically for Name Constraints.  For IPv4
2156    addresses, the ipAddress field of generalName MUST contain eight (8)
2157    octets, encoded in the style of RFC 1519 (CIDR) to represent an
2158    address range [RFC 1519].  For IPv6 addresses, the ipAddress field
2159    MUST contain 32 octets similarly encoded.  For example, a name
2160    constraint for "class C" subnet 10.9.8.0 is represented as the octets
2161    0A 09 08 00 FF FF FF 00, representing the CIDR notation
2162    10.9.8.0/255.255.255.0.
2163
2164    The syntax and semantics for name constraints for otherName,
2165    ediPartyName, and registeredID are not defined by this specification.
2166
2167       id-ce-nameConstraints OBJECT IDENTIFIER ::=  { id-ce 30 }
2168
2169       NameConstraints ::= SEQUENCE {
2170            permittedSubtrees       [0]     GeneralSubtrees OPTIONAL,
2171            excludedSubtrees        [1]     GeneralSubtrees OPTIONAL }
2172
2173       GeneralSubtrees ::= SEQUENCE SIZE (1..MAX) OF GeneralSubtree
2174
2175       GeneralSubtree ::= SEQUENCE {
2176            base                    GeneralName,
2177            minimum         [0]     BaseDistance DEFAULT 0,
2178            maximum         [1]     BaseDistance OPTIONAL }
2179
2180       BaseDistance ::= INTEGER (0..MAX)
2181
2182
2183
2184
2185
2186 Housley, et. al.            Standards Track                    [Page 39]
2187 \f
2188 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2189
2190
2191 4.2.1.12  Policy Constraints
2192
2193    The policy constraints extension can be used in certificates issued
2194    to CAs.  The policy constraints extension constrains path validation
2195    in two ways.  It can be used to prohibit policy mapping or require
2196    that each certificate in a path contain an acceptable policy
2197    identifier.
2198
2199    If the inhibitPolicyMapping field is present, the value indicates the
2200    number of additional certificates that may appear in the path before
2201    policy mapping is no longer permitted.  For example, a value of one
2202    indicates that policy mapping may be processed in certificates issued
2203    by the subject of this certificate, but not in additional
2204    certificates in the path.
2205
2206    If the requireExplicitPolicy field is present, the value of
2207    requireExplicitPolicy indicates the number of additional certificates
2208    that may appear in the path before an explicit policy is required for
2209    the entire path.  When an explicit policy is required, it is
2210    necessary for all certificates in the path to contain an acceptable
2211    policy identifier in the certificate policies extension.  An
2212    acceptable policy identifier is the identifier of a policy required
2213    by the user of the certification path or the identifier of a policy
2214    which has been declared equivalent through policy mapping.
2215
2216    Conforming CAs MUST NOT issue certificates where policy constraints
2217    is a empty sequence.  That is, at least one of the
2218    inhibitPolicyMapping field or the requireExplicitPolicy field MUST be
2219    present.  The behavior of clients that encounter a empty policy
2220    constraints field is not addressed in this profile.
2221
2222    This extension MAY be critical or non-critical.
2223
2224    id-ce-policyConstraints OBJECT IDENTIFIER ::=  { id-ce 36 }
2225
2226    PolicyConstraints ::= SEQUENCE {
2227         requireExplicitPolicy           [0] SkipCerts OPTIONAL,
2228         inhibitPolicyMapping            [1] SkipCerts OPTIONAL }
2229
2230    SkipCerts ::= INTEGER (0..MAX)
2231
2232 4.2.1.13  Extended Key Usage
2233
2234    This extension indicates one or more purposes for which the certified
2235    public key may be used, in addition to or in place of the basic
2236    purposes indicated in the key usage extension.  In general, this
2237    extension will appear only in end entity certificates.  This
2238    extension is defined as follows:
2239
2240
2241
2242 Housley, et. al.            Standards Track                    [Page 40]
2243 \f
2244 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2245
2246
2247    id-ce-extKeyUsage OBJECT IDENTIFIER ::= { id-ce 37 }
2248
2249    ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId
2250
2251    KeyPurposeId ::= OBJECT IDENTIFIER
2252
2253    Key purposes may be defined by any organization with a need.  Object
2254    identifiers used to identify key purposes MUST be assigned in
2255    accordance with IANA or ITU-T Recommendation X.660 [X.660].
2256
2257    This extension MAY, at the option of the certificate issuer, be
2258    either critical or non-critical.
2259
2260    If the extension is present, then the certificate MUST only be used
2261    for one of the purposes indicated.  If multiple purposes are
2262    indicated the application need not recognize all purposes indicated,
2263    as long as the intended purpose is present.  Certificate using
2264    applications MAY require that a particular purpose be indicated in
2265    order for the certificate to be acceptable to that application.
2266
2267    If a CA includes extended key usages to satisfy such applications,
2268    but does not wish to restrict usages of the key, the CA can include
2269    the special keyPurposeID anyExtendedKeyUsage.  If the
2270    anyExtendedKeyUsage keyPurposeID is present, the extension SHOULD NOT
2271    be critical.
2272
2273    If a certificate contains both a key usage extension and an extended
2274    key usage extension, then both extensions MUST be processed
2275    independently and the certificate MUST only be used for a purpose
2276    consistent with both extensions.  If there is no purpose consistent
2277    with both extensions, then the certificate MUST NOT be used for any
2278    purpose.
2279
2280    The following key usage purposes are defined:
2281
2282    anyExtendedKeyUsage OBJECT IDENTIFIER ::= { id-ce-extKeyUsage 0 }
2283
2284    id-kp OBJECT IDENTIFIER ::= { id-pkix 3 }
2285
2286    id-kp-serverAuth             OBJECT IDENTIFIER ::= { id-kp 1 }
2287    -- TLS WWW server authentication
2288    -- Key usage bits that may be consistent: digitalSignature,
2289    -- keyEncipherment or keyAgreement
2290
2291    id-kp-clientAuth             OBJECT IDENTIFIER ::= { id-kp 2 }
2292    -- TLS WWW client authentication
2293    -- Key usage bits that may be consistent: digitalSignature
2294    -- and/or keyAgreement
2295
2296
2297
2298 Housley, et. al.            Standards Track                    [Page 41]
2299 \f
2300 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2301
2302
2303    id-kp-codeSigning             OBJECT IDENTIFIER ::= { id-kp 3 }
2304    -- Signing of downloadable executable code
2305    -- Key usage bits that may be consistent: digitalSignature
2306
2307    id-kp-emailProtection         OBJECT IDENTIFIER ::= { id-kp 4 }
2308    -- E-mail protection
2309    -- Key usage bits that may be consistent: digitalSignature,
2310    -- nonRepudiation, and/or (keyEncipherment or keyAgreement)
2311
2312    id-kp-timeStamping            OBJECT IDENTIFIER ::= { id-kp 8 }
2313    -- Binding the hash of an object to a time
2314    -- Key usage bits that may be consistent: digitalSignature
2315    -- and/or nonRepudiation
2316
2317    id-kp-OCSPSigning            OBJECT IDENTIFIER ::= { id-kp 9 }
2318    -- Signing OCSP responses
2319    -- Key usage bits that may be consistent: digitalSignature
2320    -- and/or nonRepudiation
2321
2322 4.2.1.14  CRL Distribution Points
2323
2324    The CRL distribution points extension identifies how CRL information
2325    is obtained.  The extension SHOULD be non-critical, but this profile
2326    RECOMMENDS support for this extension by CAs and applications.
2327    Further discussion of CRL management is contained in section 5.
2328
2329    The cRLDistributionPoints extension is a SEQUENCE of
2330    DistributionPoint.  A DistributionPoint consists of three fields,
2331    each of which is optional: distributionPoint, reasons, and cRLIssuer.
2332    While each of these fields is optional, a DistributionPoint MUST NOT
2333    consist of only the reasons field; either distributionPoint or
2334    cRLIssuer MUST be present.  If the certificate issuer is not the CRL
2335    issuer, then the cRLIssuer field MUST be present and contain the Name
2336    of the CRL issuer.  If the certificate issuer is also the CRL issuer,
2337    then the cRLIssuer field MUST be omitted and the distributionPoint
2338    field MUST be present.  If the distributionPoint field is omitted,
2339    cRLIssuer MUST be present and include a Name corresponding to an
2340    X.500 or LDAP directory entry where the CRL is located.
2341
2342    When the distributionPoint field is present, it contains either a
2343    SEQUENCE of general names or a single value, nameRelativeToCRLIssuer.
2344    If the cRLDistributionPoints extension contains a general name of
2345    type URI, the following semantics MUST be assumed: the URI is a
2346    pointer to the current CRL for the associated reasons and will be
2347    issued by the associated cRLIssuer.  The expected values for the URI
2348    are those defined in 4.2.1.7.  Processing rules for other values are
2349    not defined by this specification.
2350
2351
2352
2353
2354 Housley, et. al.            Standards Track                    [Page 42]
2355 \f
2356 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2357
2358
2359    If the DistributionPointName contains multiple values, each name
2360    describes a different mechanism to obtain the same CRL.  For example,
2361    the same CRL could be available for retrieval through both LDAP and
2362    HTTP.
2363
2364    If the DistributionPointName contains the single value
2365    nameRelativeToCRLIssuer, the value provides a distinguished name
2366    fragment.  The fragment is appended to the X.500 distinguished name
2367    of the CRL issuer to obtain the distribution point name.  If the
2368    cRLIssuer field in the DistributionPoint is present, then the name
2369    fragment is appended to the distinguished name that it contains;
2370    otherwise, the name fragment is appended to the certificate issuer
2371    distinguished name.  The DistributionPointName MUST NOT use the
2372    nameRealtiveToCRLIssuer alternative when cRLIssuer contains more than
2373    one distinguished name.
2374
2375    If the DistributionPoint omits the reasons field, the CRL MUST
2376    include revocation information for all reasons.
2377
2378    The cRLIssuer identifies the entity who signs and issues the CRL.  If
2379    present, the cRLIssuer MUST contain at least one an X.500
2380    distinguished name (DN), and MAY also contain other name forms.
2381    Since the cRLIssuer is compared to the CRL issuer name, the X.501
2382    type Name MUST follow the encoding rules for the issuer name field in
2383    the certificate (section 4.1.2.4).
2384
2385    id-ce-cRLDistributionPoints OBJECT IDENTIFIER ::=  { id-ce 31 }
2386
2387    CRLDistributionPoints ::= SEQUENCE SIZE (1..MAX) OF DistributionPoint
2388
2389    DistributionPoint ::= SEQUENCE {
2390         distributionPoint       [0]     DistributionPointName OPTIONAL,
2391         reasons                 [1]     ReasonFlags OPTIONAL,
2392         cRLIssuer               [2]     GeneralNames OPTIONAL }
2393
2394    DistributionPointName ::= CHOICE {
2395         fullName                [0]     GeneralNames,
2396         nameRelativeToCRLIssuer [1]     RelativeDistinguishedName }
2397
2398
2399
2400
2401
2402
2403
2404
2405
2406
2407
2408
2409
2410 Housley, et. al.            Standards Track                    [Page 43]
2411 \f
2412 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2413
2414
2415    ReasonFlags ::= BIT STRING {
2416         unused                  (0),
2417         keyCompromise           (1),
2418         cACompromise            (2),
2419         affiliationChanged      (3),
2420         superseded              (4),
2421         cessationOfOperation    (5),
2422         certificateHold         (6),
2423         privilegeWithdrawn      (7),
2424         aACompromise            (8) }
2425
2426 4.2.1.15  Inhibit Any-Policy
2427
2428    The inhibit any-policy extension can be used in certificates issued
2429    to CAs.  The inhibit any-policy indicates that the special anyPolicy
2430    OID, with the value { 2 5 29 32 0 }, is not considered an explicit
2431    match for other certificate policies.  The value indicates the number
2432    of additional certificates that may appear in the path before
2433    anyPolicy is no longer permitted.  For example, a value of one
2434    indicates that anyPolicy may be processed in certificates issued by
2435    the subject of this certificate, but not in additional certificates
2436    in the path.
2437
2438    This extension MUST be critical.
2439
2440    id-ce-inhibitAnyPolicy OBJECT IDENTIFIER ::=  { id-ce 54 }
2441
2442    InhibitAnyPolicy ::= SkipCerts
2443
2444    SkipCerts ::= INTEGER (0..MAX)
2445
2446 4.2.1.16  Freshest CRL (a.k.a. Delta CRL Distribution Point)
2447
2448    The freshest CRL extension identifies how delta CRL information is
2449    obtained.  The extension MUST be non-critical.  Further discussion of
2450    CRL management is contained in section 5.
2451
2452    The same syntax is used for this extension and the
2453    cRLDistributionPoints extension, and is described in section
2454    4.2.1.14.  The same conventions apply to both extensions.
2455
2456    id-ce-freshestCRL OBJECT IDENTIFIER ::=  { id-ce 46 }
2457
2458    FreshestCRL ::= CRLDistributionPoints
2459
2460
2461
2462
2463
2464
2465
2466 Housley, et. al.            Standards Track                    [Page 44]
2467 \f
2468 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2469
2470
2471 4.2.2  Private Internet Extensions
2472
2473    This section defines two extensions for use in the Internet Public
2474    Key Infrastructure.  These extensions may be used to direct
2475    applications to on-line information about the issuing CA or the
2476    subject.  As the information may be available in multiple forms, each
2477    extension is a sequence of IA5String values, each of which represents
2478    a URI.  The URI implicitly specifies the location and format of the
2479    information and the method for obtaining the information.
2480
2481    An object identifier is defined for the private extension.  The
2482    object identifier associated with the private extension is defined
2483    under the arc id-pe within the arc id-pkix.  Any future extensions
2484    defined for the Internet PKI are also expected to be defined under
2485    the arc id-pe.
2486
2487       id-pkix  OBJECT IDENTIFIER  ::=
2488                { iso(1) identified-organization(3) dod(6) internet(1)
2489                        security(5) mechanisms(5) pkix(7) }
2490
2491       id-pe  OBJECT IDENTIFIER  ::=  { id-pkix 1 }
2492
2493 4.2.2.1  Authority Information Access
2494
2495    The authority information access extension indicates how to access CA
2496    information and services for the issuer of the certificate in which
2497    the extension appears.  Information and services may include on-line
2498    validation services and CA policy data.  (The location of CRLs is not
2499    specified in this extension; that information is provided by the
2500    cRLDistributionPoints extension.)  This extension may be included in
2501    end entity or CA certificates, and it MUST be non-critical.
2502
2503    id-pe-authorityInfoAccess OBJECT IDENTIFIER ::= { id-pe 1 }
2504
2505    AuthorityInfoAccessSyntax  ::=
2506            SEQUENCE SIZE (1..MAX) OF AccessDescription
2507
2508    AccessDescription  ::=  SEQUENCE {
2509            accessMethod          OBJECT IDENTIFIER,
2510            accessLocation        GeneralName  }
2511
2512    id-ad OBJECT IDENTIFIER ::= { id-pkix 48 }
2513
2514    id-ad-caIssuers OBJECT IDENTIFIER ::= { id-ad 2 }
2515
2516    id-ad-ocsp OBJECT IDENTIFIER ::= { id-ad 1 }
2517
2518
2519
2520
2521
2522 Housley, et. al.            Standards Track                    [Page 45]
2523 \f
2524 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2525
2526
2527    Each entry in the sequence AuthorityInfoAccessSyntax describes the
2528    format and location of additional information provided by the CA that
2529    issued the certificate in which this extension appears.  The type and
2530    format of the information is specified by the accessMethod field; the
2531    accessLocation field specifies the location of the information.  The
2532    retrieval mechanism may be implied by the accessMethod or specified
2533    by accessLocation.
2534
2535    This profile defines two accessMethod OIDs: id-ad-caIssuers and
2536    id-ad-ocsp.
2537
2538    The id-ad-caIssuers OID is used when the additional information lists
2539    CAs that have issued certificates superior to the CA that issued the
2540    certificate containing this extension.  The referenced CA issuers
2541    description is intended to aid certificate users in the selection of
2542    a certification path that terminates at a point trusted by the
2543    certificate user.
2544
2545    When id-ad-caIssuers appears as accessMethod, the accessLocation
2546    field describes the referenced description server and the access
2547    protocol to obtain the referenced description.  The accessLocation
2548    field is defined as a GeneralName, which can take several forms.
2549    Where the information is available via http, ftp, or ldap,
2550    accessLocation MUST be a uniformResourceIdentifier.  Where the
2551    information is available via the Directory Access Protocol (DAP),
2552    accessLocation MUST be a directoryName.  The entry for that
2553    directoryName contains CA certificates in the crossCertificatePair
2554    attribute.  When the information is available via electronic mail,
2555    accessLocation MUST be an rfc822Name.  The semantics of other
2556    id-ad-caIssuers accessLocation name forms are not defined.
2557
2558    The id-ad-ocsp OID is used when revocation information for the
2559    certificate containing this extension is available using the Online
2560    Certificate Status Protocol (OCSP) [RFC 2560].
2561
2562    When id-ad-ocsp appears as accessMethod, the accessLocation field is
2563    the location of the OCSP responder, using the conventions defined in
2564    [RFC 2560].
2565
2566    Additional access descriptors may be defined in other PKIX
2567    specifications.
2568
2569 4.2.2.2  Subject Information Access
2570
2571    The subject information access extension indicates how to access
2572    information and services for the subject of the certificate in which
2573    the extension appears.  When the subject is a CA, information and
2574    services may include certificate validation services and CA policy
2575
2576
2577
2578 Housley, et. al.            Standards Track                    [Page 46]
2579 \f
2580 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2581
2582
2583    data.  When the subject is an end entity, the information describes
2584    the type of services offered and how to access them.  In this case,
2585    the contents of this extension are defined in the protocol
2586    specifications for the suported services.  This extension may be
2587    included in subject or CA certificates, and it MUST be non-critical.
2588
2589    id-pe-subjectInfoAccess OBJECT IDENTIFIER ::= { id-pe 11 }
2590
2591    SubjectInfoAccessSyntax  ::=
2592            SEQUENCE SIZE (1..MAX) OF AccessDescription
2593
2594    AccessDescription  ::=  SEQUENCE {
2595            accessMethod          OBJECT IDENTIFIER,
2596            accessLocation        GeneralName  }
2597
2598    Each entry in the sequence SubjectInfoAccessSyntax describes the
2599    format and location of additional information provided by the subject
2600    of the certificate in which this extension appears.  The type and
2601    format of the information is specified by the accessMethod field; the
2602    accessLocation field specifies the location of the information.  The
2603    retrieval mechanism may be implied by the accessMethod or specified
2604    by accessLocation.
2605
2606    This profile defines one access method to be used when the subject is
2607    a CA, and one access method to be used when the subject is an end
2608    entity.  Additional access methods may be defined in the future in
2609    the protocol specifications for other services.
2610
2611    The id-ad-caRepository OID is used when the subject is a CA, and
2612    publishes its certificates and CRLs (if issued) in a repository.  The
2613    accessLocation field is defined as a GeneralName, which can take
2614    several forms.  Where the information is available via http, ftp, or
2615    ldap, accessLocation MUST be a uniformResourceIdentifier.  Where the
2616    information is available via the directory access protocol (dap),
2617    accessLocation MUST be a directoryName.  When the information is
2618    available via electronic mail, accessLocation MUST be an rfc822Name.
2619    The semantics of other name forms of of accessLocation (when
2620    accessMethod is id-ad-caRepository) are not defined by this
2621    specification.
2622
2623    The id-ad-timeStamping OID is used when the subject offers
2624    timestamping services using the Time Stamp Protocol defined in
2625    [PKIXTSA].  Where the timestamping services are available via http or
2626    ftp, accessLocation MUST be a uniformResourceIdentifier.  Where the
2627    timestamping services are available via electronic mail,
2628    accessLocation MUST be an rfc822Name.  Where timestamping services
2629
2630
2631
2632
2633
2634 Housley, et. al.            Standards Track                    [Page 47]
2635 \f
2636 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2637
2638
2639    are available using TCP/IP, the dNSName or ipAddress name forms may
2640    be used.  The semantics of other name forms of accessLocation (when
2641    accessMethod is id-ad-timeStamping) are not defined by this
2642    specification.
2643
2644    Additional access descriptors may be defined in other PKIX
2645    specifications.
2646
2647    id-ad OBJECT IDENTIFIER ::= { id-pkix 48 }
2648
2649    id-ad-caRepository OBJECT IDENTIFIER ::= { id-ad 5 }
2650
2651    id-ad-timeStamping OBJECT IDENTIFIER ::= { id-ad 3 }
2652
2653 5  CRL and CRL Extensions Profile
2654
2655    As discussed above, one goal of this X.509 v2 CRL profile is to
2656    foster the creation of an interoperable and reusable Internet PKI.
2657    To achieve this goal, guidelines for the use of extensions are
2658    specified, and some assumptions are made about the nature of
2659    information included in the CRL.
2660
2661    CRLs may be used in a wide range of applications and environments
2662    covering a broad spectrum of interoperability goals and an even
2663    broader spectrum of operational and assurance requirements.  This
2664    profile establishes a common baseline for generic applications
2665    requiring broad interoperability.  The profile defines a set of
2666    information that can be expected in every CRL.  Also, the profile
2667    defines common locations within the CRL for frequently used
2668    attributes as well as common representations for these attributes.
2669
2670    CRL issuers issue CRLs.  In general, the CRL issuer is the CA.  CAs
2671    publish CRLs to provide status information about the certificates
2672    they issued.  However, a CA may delegate this responsibility to
2673    another trusted authority.  Whenever the CRL issuer is not the CA
2674    that issued the certificates, the CRL is referred to as an indirect
2675    CRL.
2676
2677    Each CRL has a particular scope.  The CRL scope is the set of
2678    certificates that could appear on a given CRL.  For example, the
2679    scope could be "all certificates issued by CA X", "all CA
2680    certificates issued by CA X", "all certificates issued by CA X that
2681    have been revoked for reasons of key compromise and CA compromise",
2682    or could be a set of certificates based on arbitrary local
2683    information, such as "all certificates issued to the NIST employees
2684    located in Boulder".
2685
2686
2687
2688
2689
2690 Housley, et. al.            Standards Track                    [Page 48]
2691 \f
2692 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2693
2694
2695    A complete CRL lists all unexpired certificates, within its scope,
2696    that have been revoked for one of the revocation reasons covered by
2697    the CRL scope.  The CRL issuer MAY also generate delta CRLs.  A delta
2698    CRL only lists those certificates, within its scope, whose revocation
2699    status has changed since the issuance of a referenced complete CRL.
2700    The referenced complete CRL is referred to as a base CRL.  The scope
2701    of a delta CRL MUST be the same as the base CRL that it references.
2702
2703    This profile does not define any private Internet CRL extensions or
2704    CRL entry extensions.
2705
2706    Environments with additional or special purpose requirements may
2707    build on this profile or may replace it.
2708
2709    Conforming CAs are not required to issue CRLs if other revocation or
2710    certificate status mechanisms are provided.  When CRLs are issued,
2711    the CRLs MUST be version 2 CRLs, include the date by which the next
2712    CRL will be issued in the nextUpdate field (section 5.1.2.5), include
2713    the CRL number extension (section 5.2.3), and include the authority
2714    key identifier extension (section 5.2.1).  Conforming applications
2715    that support CRLs are REQUIRED to process both version 1 and version
2716    2 complete CRLs that provide revocation information for all
2717    certificates issued by one CA.  Conforming applications are NOT
2718    REQUIRED to support processing of delta CRLs, indirect CRLs, or CRLs
2719    with a scope other than all certificates issued by one CA.
2720
2721 5.1  CRL Fields
2722
2723    The X.509 v2 CRL syntax is as follows.  For signature calculation,
2724    the data that is to be signed is ASN.1 DER encoded.  ASN.1 DER
2725    encoding is a tag, length, value encoding system for each element.
2726
2727    CertificateList  ::=  SEQUENCE  {
2728         tbsCertList          TBSCertList,
2729         signatureAlgorithm   AlgorithmIdentifier,
2730         signatureValue       BIT STRING  }
2731
2732
2733
2734
2735
2736
2737
2738
2739
2740
2741
2742
2743
2744
2745
2746 Housley, et. al.            Standards Track                    [Page 49]
2747 \f
2748 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2749
2750
2751    TBSCertList  ::=  SEQUENCE  {
2752         version                 Version OPTIONAL,
2753                                      -- if present, MUST be v2
2754         signature               AlgorithmIdentifier,
2755         issuer                  Name,
2756         thisUpdate              Time,
2757         nextUpdate              Time OPTIONAL,
2758         revokedCertificates     SEQUENCE OF SEQUENCE  {
2759              userCertificate         CertificateSerialNumber,
2760              revocationDate          Time,
2761              crlEntryExtensions      Extensions OPTIONAL
2762                                            -- if present, MUST be v2
2763                                   }  OPTIONAL,
2764         crlExtensions           [0]  EXPLICIT Extensions OPTIONAL
2765                                            -- if present, MUST be v2
2766                                   }
2767
2768    -- Version, Time, CertificateSerialNumber, and Extensions
2769    -- are all defined in the ASN.1 in section 4.1
2770
2771    -- AlgorithmIdentifier is defined in section 4.1.1.2
2772
2773    The following items describe the use of the X.509 v2 CRL in the
2774    Internet PKI.
2775
2776 5.1.1  CertificateList Fields
2777
2778    The CertificateList is a SEQUENCE of three required fields.  The
2779    fields are described in detail in the following subsections.
2780
2781 5.1.1.1  tbsCertList
2782
2783    The first field in the sequence is the tbsCertList.  This field is
2784    itself a sequence containing the name of the issuer, issue date,
2785    issue date of the next list, the optional list of revoked
2786    certificates, and optional CRL extensions.  When there are no revoked
2787    certificates, the revoked certificates list is absent.  When one or
2788    more certificates are revoked, each entry on the revoked certificate
2789    list is defined by a sequence of user certificate serial number,
2790    revocation date, and optional CRL entry extensions.
2791
2792 5.1.1.2  signatureAlgorithm
2793
2794    The signatureAlgorithm field contains the algorithm identifier for
2795    the algorithm used by the CRL issuer to sign the CertificateList.
2796    The field is of type AlgorithmIdentifier, which is defined in section
2797    4.1.1.2.  [PKIXALGS] lists the supported algorithms for this
2798    specification, but other signature algorithms MAY also be supported.
2799
2800
2801
2802 Housley, et. al.            Standards Track                    [Page 50]
2803 \f
2804 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2805
2806
2807    This field MUST contain the same algorithm identifier as the
2808    signature field in the sequence tbsCertList (section 5.1.2.2).
2809
2810 5.1.1.3  signatureValue
2811
2812    The signatureValue field contains a digital signature computed upon
2813    the ASN.1 DER encoded tbsCertList.  The ASN.1 DER encoded tbsCertList
2814    is used as the input to the signature function.  This signature value
2815    is encoded as a BIT STRING and included in the CRL signatureValue
2816    field.  The details of this process are specified for each of the
2817    supported algorithms in [PKIXALGS].
2818
2819    CAs that are also CRL issuers MAY use one private key to digitally
2820    sign certificates and CRLs, or MAY use separate private keys to
2821    digitally sign certificates and CRLs.  When separate private keys are
2822    employed, each of the public keys associated with these private keys
2823    is placed in a separate certificate, one with the keyCertSign bit set
2824    in the key usage extension, and one with the cRLSign bit set in the
2825    key usage extension (section 4.2.1.3).  When separate private keys
2826    are employed, certificates issued by the CA contain one authority key
2827    identifier, and the corresponding CRLs contain a different authority
2828    key identifier.  The use of separate CA certificates for validation
2829    of certificate signatures and CRL signatures can offer improved
2830    security characteristics; however, it imposes a burden on
2831    applications, and it might limit interoperability.  Many applications
2832    construct a certification path, and then validate the certification
2833    path (section 6).  CRL checking in turn requires a separate
2834    certification path to be constructed and validated for the CA's CRL
2835    signature validation certificate.  Applications that perform CRL
2836    checking MUST support certification path validation when certificates
2837    and CRLs are digitally signed with the same CA private key.  These
2838    applications SHOULD support certification path validation when
2839    certificates and CRLs are digitally signed with different CA private
2840    keys.
2841
2842 5.1.2  Certificate List "To Be Signed"
2843
2844    The certificate list to be signed, or TBSCertList, is a sequence of
2845    required and optional fields.  The required fields identify the CRL
2846    issuer, the algorithm used to sign the CRL, the date and time the CRL
2847    was issued, and the date and time by which the CRL issuer will issue
2848    the next CRL.
2849
2850    Optional fields include lists of revoked certificates and CRL
2851    extensions.  The revoked certificate list is optional to support the
2852    case where a CA has not revoked any unexpired certificates that it
2853
2854
2855
2856
2857
2858 Housley, et. al.            Standards Track                    [Page 51]
2859 \f
2860 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2861
2862
2863    has issued.  The profile requires conforming CRL issuers to use the
2864    CRL number and authority key identifier CRL extensions in all CRLs
2865    issued.
2866
2867 5.1.2.1  Version
2868
2869    This optional field describes the version of the encoded CRL.  When
2870    extensions are used, as required by this profile, this field MUST be
2871    present and MUST specify version 2 (the integer value is 1).
2872
2873 5.1.2.2  Signature
2874
2875    This field contains the algorithm identifier for the algorithm used
2876    to sign the CRL.  [PKIXALGS] lists OIDs for the most popular
2877    signature algorithms used in the Internet PKI.
2878
2879    This field MUST contain the same algorithm identifier as the
2880    signatureAlgorithm field in the sequence CertificateList (section
2881    5.1.1.2).
2882
2883 5.1.2.3  Issuer Name
2884
2885    The issuer name identifies the entity who has signed and issued the
2886    CRL.  The issuer identity is carried in the issuer name field.
2887    Alternative name forms may also appear in the issuerAltName extension
2888    (section 5.2.2).  The issuer name field MUST contain an X.500
2889    distinguished name (DN).  The issuer name field is defined as the
2890    X.501 type Name, and MUST follow the encoding rules for the issuer
2891    name field in the certificate (section 4.1.2.4).
2892
2893 5.1.2.4  This Update
2894
2895    This field indicates the issue date of this CRL.  ThisUpdate may be
2896    encoded as UTCTime or GeneralizedTime.
2897
2898    CRL issuers conforming to this profile MUST encode thisUpdate as
2899    UTCTime for dates through the year 2049.  CRL issuers conforming to
2900    this profile MUST encode thisUpdate as GeneralizedTime for dates in
2901    the year 2050 or later.
2902
2903    Where encoded as UTCTime, thisUpdate MUST be specified and
2904    interpreted as defined in section 4.1.2.5.1.  Where encoded as
2905    GeneralizedTime, thisUpdate MUST be specified and interpreted as
2906    defined in section 4.1.2.5.2.
2907
2908
2909
2910
2911
2912
2913
2914 Housley, et. al.            Standards Track                    [Page 52]
2915 \f
2916 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2917
2918
2919 5.1.2.5  Next Update
2920
2921    This field indicates the date by which the next CRL will be issued.
2922    The next CRL could be issued before the indicated date, but it will
2923    not be issued any later than the indicated date.  CRL issuers SHOULD
2924    issue CRLs with a nextUpdate time equal to or later than all previous
2925    CRLs.  nextUpdate may be encoded as UTCTime or GeneralizedTime.
2926
2927    This profile requires inclusion of nextUpdate in all CRLs issued by
2928    conforming CRL issuers.  Note that the ASN.1 syntax of TBSCertList
2929    describes this field as OPTIONAL, which is consistent with the ASN.1
2930    structure defined in [X.509].  The behavior of clients processing
2931    CRLs which omit nextUpdate is not specified by this profile.
2932
2933    CRL issuers conforming to this profile MUST encode nextUpdate as
2934    UTCTime for dates through the year 2049.  CRL issuers conforming to
2935    this profile MUST encode nextUpdate as GeneralizedTime for dates in
2936    the year 2050 or later.
2937
2938    Where encoded as UTCTime, nextUpdate MUST be specified and
2939    interpreted as defined in section 4.1.2.5.1.  Where encoded as
2940    GeneralizedTime, nextUpdate MUST be specified and interpreted as
2941    defined in section 4.1.2.5.2.
2942
2943 5.1.2.6  Revoked Certificates
2944
2945    When there are no revoked certificates, the revoked certificates list
2946    MUST be absent.  Otherwise, revoked certificates are listed by their
2947    serial numbers.  Certificates revoked by the CA are uniquely
2948    identified by the certificate serial number.  The date on which the
2949    revocation occurred is specified.  The time for revocationDate MUST
2950    be expressed as described in section 5.1.2.4. Additional information
2951    may be supplied in CRL entry extensions; CRL entry extensions are
2952    discussed in section 5.3.
2953
2954 5.1.2.7  Extensions
2955
2956    This field may only appear if the version is 2 (section 5.1.2.1).  If
2957    present, this field is a sequence of one or more CRL extensions.  CRL
2958    extensions are discussed in section 5.2.
2959
2960 5.2  CRL Extensions
2961
2962    The extensions defined by ANSI X9, ISO/IEC, and ITU-T for X.509 v2
2963    CRLs [X.509] [X9.55] provide methods for associating additional
2964    attributes with CRLs.  The X.509 v2 CRL format also allows
2965    communities to define private extensions to carry information unique
2966    to those communities.  Each extension in a CRL may be designated as
2967
2968
2969
2970 Housley, et. al.            Standards Track                    [Page 53]
2971 \f
2972 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
2973
2974
2975    critical or non-critical.  A CRL validation MUST fail if it
2976    encounters a critical extension which it does not know how to
2977    process.  However, an unrecognized non-critical extension may be
2978    ignored.  The following subsections present those extensions used
2979    within Internet CRLs.  Communities may elect to include extensions in
2980    CRLs which are not defined in this specification.  However, caution
2981    should be exercised in adopting any critical extensions in CRLs which
2982    might be used in a general context.
2983
2984    Conforming CRL issuers are REQUIRED to include the authority key
2985    identifier (section 5.2.1) and the CRL number (section 5.2.3)
2986    extensions in all CRLs issued.
2987
2988 5.2.1  Authority Key Identifier
2989
2990    The authority key identifier extension provides a means of
2991    identifying the public key corresponding to the private key used to
2992    sign a CRL.  The identification can be based on either the key
2993    identifier (the subject key identifier in the CRL signer's
2994    certificate) or on the issuer name and serial number.  This extension
2995    is especially useful where an issuer has more than one signing key,
2996    either due to multiple concurrent key pairs or due to changeover.
2997
2998    Conforming CRL issuers MUST use the key identifier method, and MUST
2999    include this extension in all CRLs issued.
3000
3001    The syntax for this CRL extension is defined in section 4.2.1.1.
3002
3003 5.2.2  Issuer Alternative Name
3004
3005    The issuer alternative names extension allows additional identities
3006    to be associated with the issuer of the CRL.  Defined options include
3007    an rfc822 name (electronic mail address), a DNS name, an IP address,
3008    and a URI.  Multiple instances of a name and multiple name forms may
3009    be included.  Whenever such identities are used, the issuer
3010    alternative name extension MUST be used; however, a DNS name MAY be
3011    represented in the issuer field using the domainComponent attribute
3012    as described in section 4.1.2.4.
3013
3014    The issuerAltName extension SHOULD NOT be marked critical.
3015
3016    The OID and syntax for this CRL extension are defined in section
3017    4.2.1.8.
3018
3019
3020
3021
3022
3023
3024
3025
3026 Housley, et. al.            Standards Track                    [Page 54]
3027 \f
3028 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
3029
3030
3031 5.2.3  CRL Number
3032
3033    The CRL number is a non-critical CRL extension which conveys a
3034    monotonically increasing sequence number for a given CRL scope and
3035    CRL issuer.  This extension allows users to easily determine when a
3036    particular CRL supersedes another CRL.  CRL numbers also support the
3037    identification of complementary complete CRLs and delta CRLs.  CRL
3038    issuers conforming to this profile MUST include this extension in all
3039    CRLs.
3040
3041    If a CRL issuer generates delta CRLs in addition to complete CRLs for
3042    a given scope, the complete CRLs and delta CRLs MUST share one
3043    numbering sequence.  If a delta CRL and a complete CRL that cover the
3044    same scope are issued at the same time, they MUST have the same CRL
3045    number and provide the same revocation information.  That is, the
3046    combination of the delta CRL and an acceptable complete CRL MUST
3047    provide the same revocation information as the simultaneously issued
3048    complete CRL.
3049
3050    If a CRL issuer generates two CRLs (two complete CRLs, two delta
3051    CRLs, or a complete CRL and a delta CRL) for the same scope at
3052    different times, the two CRLs MUST NOT have the same CRL number.
3053    That is, if the this update field (section 5.1.2.4) in the two CRLs
3054    are not identical, the CRL numbers MUST be different.
3055
3056    Given the requirements above, CRL numbers can be expected to contain
3057    long integers.  CRL verifiers MUST be able to handle CRLNumber values
3058    up to 20 octets.  Conformant CRL issuers MUST NOT use CRLNumber
3059    values longer than 20 octets.
3060
3061    id-ce-cRLNumber OBJECT IDENTIFIER ::= { id-ce 20 }
3062
3063    CRLNumber ::= INTEGER (0..MAX)
3064
3065 5.2.4  Delta CRL Indicator
3066
3067    The delta CRL indicator is a critical CRL extension that identifies a
3068    CRL as being a delta CRL.  Delta CRLs contain updates to revocation
3069    information previously distributed, rather than all the information
3070    that would appear in a complete CRL.  The use of delta CRLs can
3071    significantly reduce network load and processing time in some
3072    environments.  Delta CRLs are generally smaller than the CRLs they
3073    update, so applications that obtain delta CRLs consume less network
3074    bandwidth than applications that obtain the corresponding complete
3075    CRLs.  Applications which store revocation information in a format
3076    other than the CRL structure can add new revocation information to
3077    the local database without reprocessing information.
3078
3079
3080
3081
3082 Housley, et. al.            Standards Track                    [Page 55]
3083 \f
3084 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
3085
3086
3087    The delta CRL indicator extension contains the single value of type
3088    BaseCRLNumber.  The CRL number identifies the CRL, complete for a
3089    given scope, that was used as the starting point in the generation of
3090    this delta CRL.  A conforming CRL issuer MUST publish the referenced
3091    base CRL as a complete CRL.  The delta CRL contains all updates to
3092    the revocation status for that same scope.  The combination of a
3093    delta CRL plus the referenced base CRL is equivalent to a complete
3094    CRL, for the applicable scope, at the time of publication of the
3095    delta CRL.
3096
3097    When a conforming CRL issuer generates a delta CRL, the delta CRL
3098    MUST include a critical delta CRL indicator extension.
3099
3100    When a delta CRL is issued, it MUST cover the same set of reasons and
3101    the same set of certificates that were covered by the base CRL it
3102    references.  That is, the scope of the delta CRL MUST be the same as
3103    the scope of the complete CRL referenced as the base.  The referenced
3104    base CRL and the delta CRL MUST omit the issuing distribution point
3105    extension or contain identical issuing distribution point extensions.
3106    Further, the CRL issuer MUST use the same private key to sign the
3107    delta CRL and any complete CRL that it can be used to update.
3108
3109    An application that supports delta CRLs can construct a CRL that is
3110    complete for a given scope by combining a delta CRL for that scope
3111    with either an issued CRL that is complete for that scope or a
3112    locally constructed CRL that is complete for that scope.
3113
3114    When a delta CRL is combined with a complete CRL or a locally
3115    constructed CRL, the resulting locally constructed CRL has the CRL
3116    number specified in the CRL number extension found in the delta CRL
3117    used in its construction.  In addition, the resulting locally
3118    constructed CRL has the thisUpdate and nextUpdate times specified in
3119    the corresponding fields of the delta CRL used in its construction.
3120    In addition, the locally constructed CRL inherits the issuing
3121    distribution point from the delta CRL.
3122
3123    A complete CRL and a delta CRL MAY be combined if the following four
3124    conditions are satisfied:
3125
3126       (a)  The complete CRL and delta CRL have the same issuer.
3127
3128       (b)  The complete CRL and delta CRL have the same scope.  The two
3129       CRLs have the same scope if either of the following conditions are
3130       met:
3131
3132          (1)  The issuingDistributionPoint extension is omitted from
3133          both the complete CRL and the delta CRL.
3134
3135
3136
3137
3138 Housley, et. al.            Standards Track                    [Page 56]
3139 \f
3140 RFC 3280        Internet X.509 Public Key Infrastructure      April 2002
3141
3142
3143          (2)  The issuingDistributionPoint extension is present in both
3144          the complete CRL and the delta CRL, and the values for each of
3145          the fields in the extensions are the same in both CRLs.
3146
3147       (c)  The CRL number of the complete CRL is equal to or greater
3148       than the BaseCRLNumber specified in the delta CRL.  That is, the
3149       complete CRL contains (at a minimum) all the revocation
3150       information held by the referenced base CRL.