Resumen

  • RFC 9939 reserva los tipos CMS id-ct-privateKeyInfo y id-ct-encrPrivateKeyInfo para estructuras de RFC 5958.
  • El OID permite reconocer una sintaxis acotada; no certifica posesión de clave, descifrado, propósito admisible, aceptación ni efecto operativo.

Una migración de certificados suele acumular nombres que parecen decisiones: algoritmo, OID, contenedor, destinatario. El riesgo aparece cuando un nombre se convierte en un permiso. RFC 9939 no hace eso. Su trabajo es hacer que CMS pueda portar una sola PrivateKeyInfo o EncryptedPrivateKeyInfo con tipos de contenido explícitos.

El documento asigna el decimal 52 de la rama CMS a id-ct-privateKeyInfo y el 53 a id-ct-encrPrivateKeyInfo. También registra un módulo ASN.1 y actualiza los valores de inner content type de application/cms. IANA conserva esas asignaciones. Es una coordinación precisa de nombres y sintaxis, no una lista de personas autorizadas ni una prueba de que un secreto dejó de ser secreto.

La diferencia se ve en RFC 5958. La estructura compatible PrivateKeyInfo / OneAsymmetricKey contiene versión, algoritmo, clave privada y campos opcionales. La variante cifrada declara un algoritmo de cifrado y lleva datos cifrados. Una aplicación puede comprobar que los campos forman una estructura; todavía necesita pruebas separadas de integridad, de la envoltura protectora, del secreto de descifrado, de la correspondencia de clave cuando importa y de la política que concede un uso.

CMS no elimina ese trabajo. RFC 5652 ofrece una sintaxis de encapsulación capaz de firmar, autenticar o cifrar contenido, pero los protocolos escogen algoritmos para su propio entorno. RFC 5959 aporta convenciones para algoritmos de EncryptedPrivateKeyInfo. RFC 5958 advierte que la divulgación de material privado puede permitir una suplantación y que el contenido no queda protegido por llamarse paquete asimétrico.

La salida práctica es una cadena de custodia verificable: objeto y hash, OID, versión de parser, identificadores de algoritmo, protección externa, evidencia de destinatario o gestión de clave, resultado de integridad/descifrado autorizado, propósito, límite de almacenamiento y decisión del sistema que confía. Como insiste Heng Lu, el programa puede afirmar lo que verificó localmente; no puede convertir ese resultado en autoridad ajena.

Sources