Кратко

  • RFC 3739 задал X.509-профиль, в котором удостоверяющий центр мог обозначить квалифицированное назначение сертификата физического лица и связать его с атрибутами личности и ссылками на политику.
  • RFC не устанавливает, когда сертификат квалифицирован по конкретному закону и какое правовое последствие должен признать получатель. Действительная подпись подтверждает подписанные данные, а не их юридическое толкование.

Поля можно сравнить, но смысл требует контекста

Сертификат может содержать настоящее имя или псевдоним. Среди возможных атрибутов — дата и место рождения, пол, гражданство и страна проживания. RFC 3739 отдельно предупреждает: countryName в имени субъекта задаёт общий контекст для понимания других значений. Он не обязательно обозначает гражданство, место жительства или страну выдачи сертификата.

Это не просто тонкость схемы. Если два сертификата нужно сопоставить, чтобы выяснить, относятся ли они к одному человеку, одних строк недостаточно. Их значение зависит от того, как каждый издатель использует имя и атрибуты. Без сведений о такой семантике сравнение может ввести в заблуждение. Общий формат помогает найти поля; он не подтверждает, что удостоверяющий центр правильно собрал данные, что они истинны или что похожие имена принадлежат одному лицу.

Такой подход отражает замысел RFC 3739. Опубликованный в марте 2004 года документ обновил RFC 3039 и построил профиль сертификатов X.509 на основе RFC 3280. Он предназначен для сертификатов идентификации физических лиц. В тексте сказано, что профиль описывает соглашения для сертификатов, квалифицируемых в определённой правовой системе, но сам не определяет юридические требования. Задача состояла в том, чтобы поддержать выпуск в разных локальных условиях, а не встроить единое для всех стран определение в структуру сертификата.

Удостоверяющий центр заявляет, получатель решает

Для обозначения назначения профилем предусмотрены ссылки на политику сертификата и дополнительное расширение Qualified Certificate Statements. Первое может содержать идентификатор политики; второе, будучи необязательным, несёт заявления, различаемые OID, и дополнительные данные. Удостоверяющий центр может заявить, что выпускает сертификат как квалифицированный в рамках определённого правопорядка, или указать предел доверия, например ограничение ответственности в соответствующей юрисдикции.

Заявление помещается в подписанный сертификат и становится проверяемым на изменение. Однако подпись доказывает происхождение данных, а не истинность самого утверждения или его обязательность для каждой принимающей стороны. RFC исходит из того, что ответственный центр будет соблюдать политику, соответствующую его обязательствам, практике и процедурам. Чтобы понять значения имени издателя и атрибутов, relying party может потребоваться обратиться к политике сертификата или Certification Practice Statement.

Решение поэтому разделено. Издатель описывает цель выдачи. Получатель определяет, достаточно ли ему данного издателя, политики, подтверждения личности и назначения для конкретной операции. Подпись защищает заявление от незаметной подмены, но не принуждает все стороны принять его и не устанавливает его юридические последствия.

Биометрический хеш не становится доказательством сам по себе

Расширение биометрической информации особенно ясно показывает разницу между привязкой данных и выводом об идентичности. Оно может включать тип биометрических данных, алгоритм хеширования, хеш и необязательный URI к исходным данным. RFC рекомендует сведения, пригодные для проверки человеком, и обращает внимание на то, что URI может раскрывать, чьи данные проверяются. Расширение не должно быть критическим.

Хеш способен связать последующее сравнение с конкретными данными. Но он не доказывает, что образец был собран законно, верно сопоставлен с владельцем сертификата или оценён в рамках полномочий, признаваемых правом. Аналогично, подпись под атрибутом не удостоверяет автоматически истинность каждого утверждения о человеке.

Новая версия сохранила метку для старых сертификатов

RFC 3739 заменил RFC 3039, но оставил способ распознавать документы предшествующей версии. Идентификатор QC statement v1 предназначен для старых сертификатов, выпущенных по RFC 3039. Для нового профиля RFC 3739 определил идентификатор v2; в новых сертификатах по этому профилю нельзя использовать идентификатор v1. Редакция также согласовала профиль с RFC 3280, включила domainComponent и title в набор атрибутов имени субъекта, исключила postalAddress и смягчила ряд ограничений на назначение ключа, чтобы расширить применимость.

Это свидетельство проектирования совместимости, а не миграции в реальных системах. Пример сертификата в приложении показывает структуру, но не объёмы выдачи, взаимную совместимость реализаций или признание в конкретной юрисдикции. RFC Editor сегодня обозначает RFC 3739 как Proposed Standard и указывает, что он заменил RFC 3039. Такие записи фиксируют статус публикации, а не распространённость на практике.

Даже нормативный синтаксис требует сопровождения. Errata 7802, поданная в 2024 году и удерживаемая до обновления документа, сообщает об опечатке в нормативном модуле ASN.1 1988 года: semanticsIndentifier вместо semanticsIdentifier. Это расхождение следует исправить в тексте, но запись не доказывает сбой какой-либо развёрнутой реализации. Публикация RFC, отложенная правка и наблюдаемое поведение — отдельные виды свидетельств.

Вклад RFC 3739 состоял в общей грамматике для заявления издателя, ссылок на политику и атрибутов человека. Он оставил снаружи правовые критерии, фактическую практику удостоверяющего центра, достоверность атрибутов и решение получателя о доверии. Подписанное заявление можно проверить. Само по себе оно не выносит юридический вердикт.

Источники