Summary

  • BF/BB1 は CMS の CEK を暗号化する。
  • IBERecipientInfo は DER 形式の身元と型を運ぶ。
  • 復号成功だけでは、操作の許可も永続化も示せない。

OID は方針を決めない

district、serial、identityType、OID、公開パラメータの一つが違えば、正しい形式でも別の主体になる。OID はアルゴリズム選択であり、PKG の承認、テナント、対象オブジェクトの確認ではない。DER オブジェクト、パラメータ指紋、PKG 申請、CEK ハッシュ、復号結果を保存したい。

復号後にはアプリケーションの役割・割当量・対象状態が続く。CMS の成功、認可判断、commit ID を分離して監視する。