標(biāo)準(zhǔn)號(hào)：GB/T 16264.8-2005
中文標(biāo)準(zhǔn)名稱：信息技術(shù) 開放系統(tǒng)互連 目錄 第8部分;公鑰和屬性證書框架
英文標(biāo)準(zhǔn)名稱：Information technology.Open Systems Interconnection.The Directory.Part 8:Public-key and attribute certificate frameworks
標(biāo)準(zhǔn)類型：L79
發(fā)布日期：2005/5/25 12:00:00
實(shí)施日期：2005/12/1 12:00:00
中國標(biāo)準(zhǔn)分類號(hào)：L79
國際標(biāo)準(zhǔn)分類號(hào)：35.100.70
引用標(biāo)準(zhǔn)：GB/T 9387.2-1995;ITU-T X.518-2001;ITU-T X.411-1999;ITU-T X.500-2001;ITU-T X.511-2001
適用范圍： 本部分描述了一套作為所有安全服務(wù)基礎(chǔ)的框架，并規(guī)定了在鑒別及其他服務(wù)方面的安全要求。本部分特別規(guī)定了以下三種框架： ●公鑰證書框架； ●屬性證書框架； ●鑒別服務(wù)框架。 本部分中的公鑰證書框架包含了公鑰基礎(chǔ)設(shè)施(PKI)信息對(duì)象(如公鑰證書和證書撤銷列表(CRL)等)的定義。屬性證書框架包含了特權(quán)管理基礎(chǔ)設(shè)施(PMI)信息對(duì)象(如屬性證書和屬性撤銷列表(ACRL)等)的定義。該部分還提供了用于發(fā)布證書、管理證書、使用證書以及撤銷證書的框架。在規(guī)定的證書類型格式和撤銷列表模式格式中都包括了擴(kuò)展機(jī)制。本部分同時(shí)還分別包括這兩種格式一套標(biāo)準(zhǔn)的擴(kuò)展項(xiàng)，這些擴(kuò)展項(xiàng)在PKI和PMI的應(yīng)用中是普遍實(shí)用的。本部分包括了模式構(gòu)件(如對(duì)象類、屬性類型和用于在目錄中存儲(chǔ)PKI對(duì)象和PMI對(duì)象的匹配規(guī)則)。超出這些框架的其他PKI和PMI要素(如密鑰和證書管理協(xié)議、操作協(xié)議、附加證書和CRL擴(kuò)展)將由其他標(biāo)準(zhǔn)機(jī)構(gòu)(如ISO TC68，IETF等)制定。 本部分定義的鑒別模式具有普遍性，并可應(yīng)用于不同類型的應(yīng)用程序和環(huán)境中。 對(duì)目錄使用公鑰證書和屬性證書，本部分還規(guī)定了目錄使用這兩種證書的使用框架。目錄使用公鑰技術(shù)(如證書)實(shí)現(xiàn)強(qiáng)鑒別，簽名操作和/或加密操作，以及簽名數(shù)據(jù)和/或加密的數(shù)據(jù)在目錄中存儲(chǔ)。目錄利用屬性證書能夠?qū)崿F(xiàn)基于規(guī)則的訪問控制。本部分只規(guī)定框架方面的內(nèi)容，但有關(guān)目錄使用這些框架的完整規(guī)定、目錄所提供的相關(guān)服務(wù)及其構(gòu)件在目錄系列標(biāo)準(zhǔn)中進(jìn)行規(guī)定。 本部分還涉及鑒別服務(wù)框架方面的如下內(nèi)容： ●具體說明了目錄擁有的鑒別信息的格式； ●描述如何從目錄中獲得鑒別信息； ●說明如何在目錄中構(gòu)成和存放鑒別信息的假設(shè)； ●定義各種應(yīng)用使用該鑒別信息執(zhí)行鑒別的三種方法，并描述如何通過鑒別來支持其他安全服務(wù)。 本部分描述了兩級(jí)鑒別：使用口令作為自稱身份驗(yàn)證的弱鑒別；包括使用密碼技術(shù)形成憑證的強(qiáng)鑒別。弱鑒別只提供一些有限的保護(hù)，以避免非授權(quán)的訪問，只有強(qiáng)鑒別才可用作提供安全服務(wù)的基礎(chǔ)。本部分不準(zhǔn)備為鑒別建立一個(gè)通用框架，但對(duì)于那些技術(shù)已經(jīng)成熟的應(yīng)用來說本部分可能是通用的，因?yàn)檫@些技術(shù)對(duì)它們已經(jīng)足夠了。 在一個(gè)已定義的安全策略上下文中僅能提供鑒別(和其他安全服務(wù))。因標(biāo)準(zhǔn)提供的服務(wù)而受限制的用戶安全策略，由一個(gè)應(yīng)用的用戶自己來定義。 由使用本鑒別框架定義的應(yīng)用標(biāo)準(zhǔn)來指定必須執(zhí)行的協(xié)議交換，以便根據(jù)從目錄中獲取的鑒別信息來完成鑒別。應(yīng)用從目錄中獲取憑證的協(xié)議稱作目錄訪問協(xié)議(DAP)，由ITU—T X.519｜ISO/IEC 9594-5規(guī)定。