Summary

  • 11월 2일자 IETF 개인 제출 초안은 EST에 원격 검증을 결합해 새 자격 증명을 등록하거나 이미 보관된 묶음을 회수하는 두 절차를 제시한다.
  • EST 클라이언트와 서버는 자료를 전달할 뿐 키나 증거를 만들고 평가하거나 발급을 허가할 수 없다. 새 발급은 발급 기관, 기존 묶음 제공은 비밀 보관소의 정책에 달려 있다.

접수 창구에 모든 서류가 모인다고 창구 직원이 결재권자가 되는 것은 아니다. EST 원격 검증 확장 초안은 이 구분을 기술 요건으로 적었다. EST 클라이언트와 서버는 키, 증거, 인증서 서명 요청을 만들 수 없고 최신성 확인값도 발급할 수 없다. 검증 결과를 평가하거나 자격 증명의 발급과 제공을 허가하는 일도 맡지 못한다. 예전 요청과 최신성 확인값을 연결하는 작업조차 허가 판단으로 취급하지 않는다.

새 자격 증명을 만들 때는 작업 인스턴스가 서명키와 인증서 요청을 생성하고 자신의 실행 상태를 보여주는 증거를 묶는다. 검증자가 그 증거를 평가한다. 발급 기관은 개인키 소유 증명을 확인하고 검증 결과에 자체 정책을 적용한 뒤 발급 여부를 결정한다. EST 서버는 왕복 통로다. 통로를 관리한다는 이유로 발급 결정을 대신하지 않는다.

기존 자격 증명을 꺼낼 때는 작업 인스턴스가 암호화키를 만들고 공개키를 증거에 넣는다. 비밀 보관소는 검증 결과를 정책에 따라 허용된 자격 증명 그룹에 연결하고, 그 공개키로 묶음을 봉인한다. EST 중간자는 봉인된 내용물을 들여다보거나 바꾸는 주체가 아니다. 수신자는 열기 전에 대상, 최신성, 자격 증명 힌트를 확인한다. 힌트는 이미 허용된 목록에서 고르는 데 도움을 줄 수 있지만 허용 범위를 늘릴 수는 없다.

복제 인스턴스에 같은 자격 증명을 나눠주면 배포가 쉬워진다. 대신 나중에 그 키로 이뤄진 서명을 어느 인스턴스가 만들었는지 가리기 어렵다. 초안은 개별 추적이 필요한 경우 인스턴스별 키에 같은 신원 주장을 담거나 중앙 서명 서비스를 쓰는 방법을 제시한다. 공유키는 운영 편의의 선택이면서 사고 조사 때 남길 수 있는 증거의 한계를 정하는 선택이다.

IETF 등록 기록에서 이 문서는 개인 제출 초안이다. 메시지 예시는 실려 있지만 독립 구현 사이의 호환성 검증 결과는 없다. 발급 기관과 보관소가 서버의 키 연결 변경, 정책 밖 힌트, 발급 종류 바꿔치기를 실제로 거부하는 시험이 다음 증거가 될 것이다. 지금 제안이 내놓은 분명한 답은 하나다. 신청서를 운반하는 손과 자격을 승인하는 손은 같지 않아야 한다.