Инфраструктура Открытого Ключа (часть 6)

CertRequest ::= SEQUENCE {
  certReqId INTEGER,  
  -- ID для обеспечения соответствия
  -- между запросом и ответом
  certTemplate CertTemplate,  
  -- поля из сертификата, который
  -- должен быть выпущен 
  controls Controls OPTIONAL  
  -- атрибуты, используемые при
  -- выпуске сертификата 
}
CertTemplate ::= SEQUENCE {
  version [0] Version OPTIONAL,
  serialNumber [1] INTEGER OPTIONAL,
  signingAlg   [2] AlgorithmIdentifier OPTIONAL,
  issuer   [3] Name OPTIONAL,
  validity [4] OptionalValidity OPTIONAL,
  subject [5] Name OPTIONAL,
  publicKey [6] SubjectPublicKeyInfo OPTIONAL,
  issuerUID [7] UniqueIdentifier OPTIONAL,
  subjectUID [8] UniqueIdentifier OPTIONAL,
  extensions [9] Extensions OPTIONAL 
}
OptionalValidity ::= SEQUENCE {
  notBefore [0] Time OPTIONAL,
  notAfter [1] Time OPTIONAL 
} 
  -- по крайней мере, одно должно быть
  -- представлено 
Time ::= CHOICE {
  utcTime UTCTime,
  generalTime GeneralizedTime 
}

ProofOfPossession ::= CHOICE {
  raVerified      [0] NULL,
    -- используется, если RA уже убедился, что 
    -- запрашивающий обладает закрытым ключом   
  signature       [1] POPOSigningKey,
  keyEncipherment [2] POPOPrivKey,
  keyAgreement    [3] POPOPrivKey 
}    
POPOSigningKey ::= SEQUENCE {
  poposkInput     [0] POPOSigningKeyInput OPTIONAL,
  algorithmIdentifier AlgorithmIdentifier,
  signature           BIT STRING 
    -- Подпись (используя "algorithmIdentifier") является 
    -- значением в DER-представлении poposkInput. 
    -- Замечание: если CertReqMsg certReq CertTemplate 
    -- содержит значения subject и publicKey, то poposkInput 
    -- должно быть опущено и подпись должна быть вычислена 
    -- для DER-представления значения CertReqMsg certReq. 
    -- Если CertReqMsg certReq CertTemplate не содержит 
    -- значения открытого ключа и субъекта, то poposkInput 
    -- должно присутствовать и должно быть подписано. Данная 
    -- стратегия гарантирует, что открытый ключ не 
    -- присутствует в полях poposkInput и CertReqMsg certReq 
    -- CertTemplate.
}
POPOSigningKeyInput ::= SEQUENCE {
  authInfo CHOICE {
  sender        [0] GeneralName,
    -- используется только если установлена 
    -- аутентифицированная идентификация для отправителя 
    -- (т.е. DN из ранее выпущенного или действительного 
    -- в настоящий момент сертификата)
  publicKeyMAC  PKMACValue },
    -- используется, если в настоящий момент нет 
    -- аутентифицированного GeneralName отправителя; 
    -- publicKeyMAC содержит MAC, основанный на пароле, 
    -- в DER-представлении значения publicKey
  publicKey     SubjectPublicKeyInfo  -- из CertTemplate
}
PKMACValue ::= SEQUENCE {
  algId  AlgorithmIdentifier,
    -- значение алгоритма должно быть PasswordBasedMac 
    -- {1 2 840 113533 7 66 13}, значение параметра есть 
    -- значение PBMParameter BIT STRING
}
POPOPrivKey ::= CHOICE {
  thisMessage       [0] BIT STRING,
    -- доказательство, представленное в данном сообщении 
    -- (содержит сам закрытый ключ, зашифрованный для СА)
  subsequentMessage [1] SubsequentMessage,
    -- доказательство приведено в следующем сообщении
dhMAC               [2] BIT STRING 
    -- для keyAgreement (только) доказательство 
    -- приведено в данном сообщении, которое содержит 
    -- MAC (для значения DER-представления параметра 
    -- certReq в CertReqMsg, которое должно включать и 
    -- subject, и publicKey), основываясь на ключе, 
    -- полученном из закрытого ключа DH конечного 
    -- участника и открытого ключа DH СА.
}
SubsequentMessage ::= INTEGER {
  encrCert (0),
    -- запросы, при которых результирующий сертификат 
    -- зашифрован для конечного участника (при этом POP 
    -- будет выполнен в подтверждающем сообщении)
  challengeResp (1) 
    -- запросы, при которых CA/RA обязан выполнить обмен 
    -- вызов-ответ с конечным участником, чтобы доказать, 
    -- что ему известен закрытый ключ
}

PBMParameter ::= SEQUENCE {
  salt OCTET STRING,
  owf AlgorithmIdentifier,
    -- AlgId для One-Way Function
    -- (SHA-1 рекомендуется)
  iterationCount INTEGER,
    -- сколько раз применяется OWF 
  mac AlgorithmIdentifier
    -- the MAC AlgId (например,
    -- DES-MAC, Triple-DES-MAC,
    -- или HMAC) }

publicKeyMAC = Hash( K XOR opad,
  Hash( K XOR ipad, public key) )

PKIPublicationInfo ::= SEQUENCE {
  action INTEGER {
    dontPublish (0),
    pleasePublish 1) },
  pubInfos SEQUENCE SIZE (1..MAX)
    OF SinglePubInfo OPTIONAL }
  -- pubInfos не должно присутствовать,
  -- если действие есть "dontPublish" 
  -- (если действие есть 
  -- "pleasePublish" и pubInfos опущено,
  -- предполагается "dontCare")
SinglePubInfo ::= SEQUENCE {
  pubMethod    INTEGER {
    dontCare       (0),
    x500           (1),
    web           (2),
    ldap           (3) },
  pubLocation   GeneralName OPTIONAL }

PKIArchiveOptions ::= CHOICE {
  encryptedPrivKey [0] EncryptedKey,
    -- реальное значение закрытого ключа

  keyGenParameters [1] KeyGenParameters,
    -- параметры, которые допускают
    -- перегенерацию закрытого ключа 

  archiveRemGenPrivKey [2] BOOLEAN 
    -- установлено в TRUE, если отправитель
    -- хочет, чтобы получатель архивировал
    -- закрытый ключ или пару ключей,
    -- которые создал получатель в ответ
    -- на данный запрос; 
    -- установлено в FALSE, если архивация 
    -- не предполагается.
}
EncryptedKey ::= CHOICE {
  encryptedValue EncryptedValue,
  envelopedData [0] EnvelopedData 
    -- зашифрованный закрытый ключ должен
    -- быть размещен в 
    -- envelopedData encryptedContentInfo
    -- encryptedContent 
    -- OCTET STRING.
}
EncryptedValue ::= SEQUENCE {
  intendedAlg [0] AlgorithmIdentifier OPTIONAL,
    -- предполагаемый алгоритм, для
    -- которого будет 
    -- использоваться значение 

  symmAlg [1] AlgorithmIdentifier OPTIONAL,
    -- симметричный алгоритм, используемый
    -- для шифрования значения 

  encSymmKey [2] BIT STRING  OPTIONAL,
    -- (зашифрованный) симметричный ключ,
    -- используемый для шифрования значения

  keyAlg [3] AlgorithmIdentifier OPTIONAL,
    -- алгоритм, используемый для
    -- шифрования симметричного ключа 

  valueHint [4] OCTET STRING OPTIONAL,
    -- краткое описание или идентификатор
    -- содержимого encValue (может иметь 
    -- значение только для посылающего и
    -- использоваться только если 
    -- EncryptedValue должно перепроверяться
    -- посылающим в будущем)

  encValue BIT STRING 
}
KeyGenParameters ::= OCTET STRING