15、RFC 3647 相关安全控制解析

RFC 3647 相关安全控制解析

1. 证书撤销与暂停

   • 基本概念 ：证书暂停是指暂时搁置证书以防止其使用，最终可能恢复或撤销；而证书撤销则是永久取消证书。RFC 3647 虽将撤销和暂停视为同义词，但二者情况不同，暂停可逆，撤销不可逆。
   • 处理示例 ：不同 PKI 实体的证书撤销和暂停处理方式如下表所示：
     | PKI 实体 | CP/CPS | 政策或实践声明 |
     | — | — | — |
     | CA | CP | 下级 CA 向上级 CA 提交撤销或暂停其证书的请求。 |
     | RA | CP | RA 向关联的 CA 提交撤销或暂停其证书的请求。 |
     | OCSP 响应者 | CP | OCSP 响应者向关联的 CA 提交撤销或暂停其证书的请求。 |
     | 订阅者 | CP | 订阅者向关联的 RA 提交撤销或暂停其证书的请求。 |
   • 情况对比 ：证书暂停和撤销在不同情况下的处理方式对比如下表：
     | 情况 | 证书暂停 | 证书撤销 |
     | — | — | — |
     | 密钥泄露 | 组织在调查密钥泄露情况时可能暂停其证书。 | 若已知或怀疑密钥泄露，组织撤销其证书。 |
     | CA 泄露 | CA 在调查系统泄露情况时可能暂停其证书。 | 若已知或怀疑系统泄露，CA 撤销其证书。 |
     | RA 泄露 | CA 在调查系统泄露情况时可能暂停 RA 证书。 | 若已知或怀疑系统泄露