摘要

  • RFC 3647 用共同框架组织证书策略与认证实践声明，但它既不规定某一套具体控制，也不证明声明中的控制已经执行。
  • 管理者应把每个关键条款连接到责任人、实际动作、不可变证据、独立观察、发布状态和依赖方决定，不能把策略 OID 或审计标签当成结果。

先看一个常见的采购动作。供应商提交 CPS，九个主章节齐全：发布、身份核验、生命周期、物理与人员控制、技术安全、状态服务、审计和法律事项。自动评分器因此给出“完整”。可是在 RFC 3647 的框架里，完整标题并不等于完整控制。某个小节可以明确写 no stipulation，敏感流程也可能只存在于不公开材料中。

正确的机器判断至少要保留六种状态：有明确要求、有实践说明、无规定、保密但有证据责任人、外包给第三方、已经被独立观察。把它们压成一个布尔值，会让格式完整性冒充运行保证。

RFC 3647 对 CP 和 CPS 的区分很清楚。证书策略规定参与者“必须做什么”；认证实践声明说明某个 CA 或组织声称“怎样做”。一份 CPS 可以支持多个策略，多个实践不同的 CA 也可以支持同一策略。因此，证书里的策略标识符只是一项适用性声明，不是某个具体运行环境的指纹。

纯文本版本进一步限制了结论：该文档旨在解释概念并帮助起草和理解 CP/CPS，不定义任何具体策略，也不建议必须采用哪些要求或实践。它是灵活工具，而不是认证机构。采用它的目录，不等于通过它不存在的合规测试。

策略扩展、策略映射和策略约束可以参与证书路径处理。RFC 5280及其部分更新 RFC 6818规定互联网 X.509 证书、CRL 和路径验证规则。路径验证成功回答的是语法、签名、约束与本地信任输入是否满足算法，不会自动生成密钥仪式的人员、设备与授权记录。

真正的仪式回执应当说明：哪个授权对应哪个动作；哪两名或多名人员分别批准；使用了哪台设备及其当时状态；输入输出和公钥指纹是什么；是否出现例外；见证人如何确认。CPS 中“采用双人控制”只是声明。上述记录才是一次具体执行的证据。

吊销链也不能缩成一个字段。RFC 3647 要求起草者考虑谁能申请、怎样核验申请者、报告宽限期、CA 处理时间、CRL 频率、生成到发布的最大延迟、OCSP 可用性以及依赖方查询义务。RFC 6960定义 OCSP，RFC 5019给出大规模环境的轻量配置。一次状态响应可以证明某时某点的观察，却不能单独证明发现、审批、所有发布面收敛和应用拒绝都已经完成。

发布责任同样需要外部视角。CPS 可以说明谁运营仓库、何时发布、谁能访问。运行证据则应保存具体对象版本、发布时间、访问端点、外部取回字节、鲜度判断和应用决定。承诺“每小时更新”是目标；带时间的外部读取才是观察。

RPKI 文档提供了有用的分层实例。RFC 6484是证书策略，RFC 7382是基于 RFC 3647 的 CPS 模板，RFC 6487规定证书与 CRL 配置文件。三者分别处理要求、实践说明和技术格式，不能互相代替。

可观察性还可继续增强。RFC 6481描述发布点结构，RFC 6486用签名清单帮助依赖方发现特定的缺失或陈旧对象。清单是一种可复核机制，但它并不证明机房访问、人员筛查或灾难恢复等全部 CPS 条款。

灾难与密钥泄露恢复要求更长的证据链。框架让起草者说明如何重建安全环境、吊销哪些证书和实体密钥、怎样把新公钥交给用户、怎样重新认证主体、怎样维持连续性。计划写得正确，不等于旧信任已经从仓库、缓存和应用中退出。

审计标签也有边界。RFC 3647 把范围与方法、频率或触发事件、评估者资质、独立性、覆盖主题、缺陷处理和结果沟通分开。采购方看到“年度审计”时，还应追问证据期间、总体、抽样、排除项、未关闭问题以及审计期后的变化。

法律层不能借用技术层的结论。RFC 3647 指出，很多 CP/CPS 只是信息或披露文件。只有订户协议或依赖方协议等另行文件把它纳入，合同效果才可能成立。证书中的链接或限定符既不自动证明同意，也不决定责任边界。

这份 RFC 取代了 RFC 2527。其 Informational 状态和来源可由 Datatracker、RFC Editor 信息页与历史记录核对。本次冻结的勘误记录是编辑性修正，不是任何部署的认证报告。

IANA SMI 编号注册表提供共享 OID 词汇。注册证明名称空间协调，不证明控制执行。

Heng Lu 关于运行代码优先、最小初始规范和现实层的论述，给出了治理约束。共同目录应帮助比较与退出，不应让文档发布者凭声明创造运行现实。要求、声明、执行、证据、审计、发布、验证和使用必须保持为不同层。

可辩护的记录因此包含：策略版本；适用 CPS；控制责任人与外包边界；动作或仪式编号；人员和设备证据；评估范围与时间；证书、CRL 或 OCSP 的发布；外部依赖方取回；路径与策略结果；应用最终决定。少一层就是不确定，不能让上一层越级作证。