摘要

  • 2026 年 9 月 2 日，IESG 对 draft-ietf-lamps-csr-attestation 第 29 版启动最后征求意见，截止日为 9 月 16 日；它的预期状态是 Proposed Standard，目前仍不是获批 RFC，也不能证明任何部署。
  • 草案允许一份 PKCS #10 或 CRMF 申请携带多份远程证明，但最终责任仍在 CA/RA：它必须证明 CSR 公钥、HSM、平台所有权、平台状态与新鲜度上下文属于同一笔可归责的申请。

第 29 版草案给出了一个异常朴素的例子。第一份声明证明密钥在 HSM 内生成，第二份证明某个平台属于公司，第三份证明某个平台处于已知良好状态。三份声明可以分别正确，却没有自动回答“是不是同一个平台、同一个 HSM、同一把申请密钥”。这不是边缘情况，而是远程证明进入证书签发后的中心风险。

草案首先解决运输问题。AttestationStatement 由类型 OID 和声明内容组成；AttestationBundle 至少包含一份声明，也可以带多份声明和可选证书。申请通过 id-aa-attestation，把一个顶层 bundle 放进 PKCS #10 属性或 CRMF 扩展。

这个容器使证据能够随申请抵达，却不会替操作者完成语义关联。可选证书可以辅助构建验证路径，但证书出现于 bundle 中，不等于它的顺序有权威，不等于系统选中了正确的信任锚，也不等于该路径对应本次业务政策。容器可解析、路径可构建与允许签发，是三个不同事实。

草案也不定义具体的证明格式，不建立新的格式注册表。类型和 OID 来自其他标准或供应商。因此，OID 是分发标签，不是真实标签。能解码内容不等于签名有效；签名有效不等于签发者适用于当前用途；签发者可信也不等于声明描述眼前这把 CSR 公钥。

如果多个 Verifier 接受同一个 OID，分发还可能出现歧义。草案提出使用不同 OID，或由格式明确规定包装层提示。关键在于提示本身必须受到相应格式的认证或绑定。否则，一份表面有效的证据可能因为错误配置甚至恶意引导，被送到更宽松的 Verifier。

关联链必须从 CSR 公钥开始。申请中的 proof of possession 可以说明提交者在协议层面控制对应私钥，却不能证明私钥在哪里生成、能否导出、设备归谁所有、设备状态是否正常，更不能证明申请者有权取得证书。

HSM 声明只缩小了其中一个不确定性。CA/RA 仍要找到 HSM 与平台之间稳定、可验证的标识关系，再把这台平台连接到所有权记录，并确认完整性测量针对同一平台和相关时间段。若这些连接依靠名称相似、供应商字段或未认证元数据完成，三份真声明仍可能属于三台设备。

新鲜度可以限制重放，却不能创造身份关系。配套的新鲜度草案让 CMP 依靠交易上下文，让 EST 依靠同一 TLS 会话或保存的 HTTP 状态，把 nonce 交换与后续 CSR 联系起来。CA/RA 如果无法完成这种联系，就不得把二者视为相关。

需要新鲜度时，nonce 长度为 8 至 64 个八位组；长度为零表示没有请求新鲜度。主 Attester 可以把同一个 nonce 交给多个下级 Attester，使多份 evidence 回答同一挑战。这能收紧时间窗口，却仍不能证明回答来自同一把密钥或同一台平台。

RFC 9334 给出的边界同样重要：新鲜度降低重放不确定性，不保证测量以后状态持续不变。设备可以在证明生成后被重新配置、转让、修补或攻陷。证明有自己的时间点，而证书通常拥有更长生命周期。

所以，草案没有把 Verifier 的成功结果提升为签发命令。CA/RA 仍要选择声明格式、信任锚、参考值、评估规则与签发策略。它可以把证据与一套策略中的某一项比较，也可以在证据与当前策略无关时丢弃它；草案建议把相关要求写入 certification practice statement。

策略版本由此成为审计证据的一部分。操作记录至少需要保留 CSR 摘要与公钥、声明原始字节、签名者、Verifier 及其版本、参考值、nonce 与交易上下文、所有权记录、评估结果、选用策略，以及最终由谁或什么自动化作出签发决定。仅保存“三项检查通过”，无法重演责任链。

这些细节也不应被原样塞进公开证书。硬件身份、固件和补丁状态、平台所有权都可能暴露运营与供应链信息。草案不建议把远程证明复制到所签发的证书。这个边界降低公开暴露，却不会消除申请日志、bundle 存档与 Verifier 记录的隐私风险。

Heng Lu 所强调的现实分层在这里具有直接用途：草案存在、bundle 语法正确、签名验证成功、声明通过评估、CA 签发、软件部署、依赖方接受，是七种不同的事实。每一层都可能留下权威感很强的回执，却没有一张回执能够替代下一层。

草案最有价值的地方，不是宣称它已经闭合信任链，而是让缺失的连接变得可指认。共享标准可以规定容器与必要绑定，本地操作者则必须保留实际执行证据，并承担签发后果。形式上的三次成功，不能代替运行系统中的一次完整归责。

来源