[要約] RFC 2314は、PKCS #10の認証要求構文バージョン1.5に関する仕様書です。このRFCの目的は、公開鍵証明書の要求を行うための構文を定義することです。
Network Working Group B. Kaliski
Request for Comments: 2314 RSA Laboratories East
Category: Informational March 1998
PKCS #10: Certification Request Syntax Version 1.5
PKCS＃10：証明書リクエスト構文バージョン1.5
Status of this Memo
本文書の状態
This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited.
このメモは、インターネットコミュニティに情報を提供します。いかなる種類のインターネット標準も規定していません。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (C) The Internet Society (1998). All Rights Reserved.
Copyright（C）The Internet Society（1998）。全著作権所有。
Overview
概観
This document describes a syntax for certification requests.
このドキュメントでは、認証要求の構文について説明します。
A certification request consists of a distinguished name, a public key, and optionally a set of attributes, collectively signed by the entity requesting certification. Certification requests are sent to a certification authority, who transforms the request to an X.509 public-key certificate, or a PKCS #6 extended certificate. (In what form the certification authority returns the newly signed certificate is outside the scope of this document. A PKCS #7 message is one possibility.)
証明書要求は、識別名、公開鍵、およびオプションで一連の属性で構成され、証明書を要求するエンティティによってまとめて署名されます。認証要求は認証局に送信され、認証局は要求をX.509公開鍵証明書またはPKCS＃6拡張証明書に変換します。 （証明機関が新しく署名した証明書を返す形式は、このドキュメントの範囲外です。PKCS＃7メッセージが1つの可能性です。）
The intention of including a set of attributes is twofold: to provide other information about a given entity, such as the postal address to which the signed certificate should be returned if electronic mail is not available, or a "challenge password" by which the entity may later request certificate revocation; and to provide attributes for a PKCS #6 extended certificate. A non-exhaustive list of attributes is given in PKCS #9.
属性のセットを含めることの目的は2つあります。電子メールが利用できない場合に署名済み証明書を返す必要がある宛先の住所や、エンティティが使用できる「チャレンジパスワード」など、特定のエンティティに関するその他の情報を提供することです。後で証明書の取り消しを要求する場合があります。また、PKCS＃6拡張証明書の属性を提供します。 PKCS＃9には、属性の完全なリストが記載されています。
Certification authorities may also require non-electronic forms of request and may return non-electronic replies. It is expected that descriptions of such forms, which are outside the scope of this document, will be available from the certification authority.
証明機関は、電子的でない形式の要求を必要とする場合があり、非電子的な応答を返す場合があります。この文書の範囲外であるこのようなフォームの説明は、認証局から入手できると予想されます。
The preliminary intended application of this document is to support PKCS #7 cryptographic messages, but is expected that other applications will be developed.
このドキュメントの予備的なアプリケーションは、PKCS＃7暗号メッセージをサポートすることですが、他のアプリケーションが開発されることが期待されています。
PKCS #1 RSA Laboratories. PKCS #1: RSA Encryption Standard. Version 1.5, November 1993.
PKCS＃1 RSA Laboratories。 PKCS＃1：RSA暗号化標準。バージョン1.5、1993年11月。
PKCS #6 RSA Laboratories. PKCS #6: Extended-Certificate Syntax. Version 1.5, November 1993.
PKCS＃6 RSA Laboratories。 PKCS＃6：拡張証明書構文。バージョン1.5、1993年11月。
PKCS #7 RSA Laboratories. PKCS #7: Cryptographic Message Syntax. Version 1.5, November 1993.
PKCS＃7 RSA Laboratories。 PKCS＃7：暗号メッセージ構文。バージョン1.5、1993年11月。
PKCS #9 RSA Laboratories. PKCS #9: Selected Attribute Types. Version 1.1, November 1993.
PKCS＃9 RSA Laboratories。 PKCS＃9：選択された属性タイプ。バージョン1.1、1993年11月。
RFC 1424 Kaliski, B., "Privacy Enhancement for Internet Electronic Mail: Part IV: Key Certification and Related Services," RFC 1424, February 1993.
RFC 1424 Kaliski、B.、「インターネット電子メールのプライバシー強化：パートIV：主要な認証および関連サービス」、RFC 1424、1993年2月。
X.208 CCITT. Recommendation X.208: Specification of Abstract Syntax Notation One (ASN.1). 1988.
X.208 CCITT。勧告X.208：抽象構文記法1（ASN.1）の仕様。 1988。
X.209 CCITT. Recommendation X.209: Specification of Basic Encoding Rules for Abstract Syntax Notation One (ASN.1). 1988.
X.209 CCITT。推奨事項X.209：抽象構文記法1（ASN.1）の基本的なエンコーディングルールの仕様。 1988。
X.500 CCITT. Recommendation X.500: The Directory-- Overview of Concepts, Models and Services. 1988.
X.500 CCITT。推奨事項X.500：ディレクトリ-概念、モデル、およびサービスの概要。 1988。
X.501 CCITT. Recommendation X.501: The Directory-- Models. 1988.
X.501 CCITT。推奨事項X.501：ディレクトリ-モデル。 1988。
X.509 CCITT. Recommendation X.509: The Directory-- Authentication Framework. 1988.
X.509 CCITT。推奨事項X.509：ディレクトリ-認証フレームワーク。 1988。
For the purposes of this document, the following definitions apply.
このドキュメントでは、次の定義が適用されます。
AlgorithmIdentifier: A type that identifies an algorithm (by object identifier) and any associated parameters. This type is defined in X.509.
AlgorithmIdentifier：（オブジェクト識別子によって）アルゴリズムと関連するパラメーターを識別するタイプ。このタイプはX.509で定義されています。
Attribute: A type that contains an attribute type (specified by object identifier) and one or more attribute values. This type is defined in X.501.
属性：（オブジェクト識別子で指定された）属性タイプと1つ以上の属性値を含むタイプ。このタイプはX.501で定義されています。
ASN.1: Abstract Syntax Notation One, as defined in X.208.
ASN.1：X.208で定義されている抽象構文記法1。
BER: Basic Encoding Rules, as defined in X.209.
BER：X.209で定義されている基本的なエンコーディングルール。
Certificate: A type that binds an entity's distinguished name to a public key with a digital signature. This type is defined in X.509. This type also contains the distinguished name of the certificate issuer (the signer), an issuer- specific serial number, the issuer's signature algorithm identifier, and a validity period.
証明書：エンティティの識別名をデジタル署名付きの公開鍵にバインドするタイプ。このタイプはX.509で定義されています。このタイプには、証明書発行者（署名者）の識別名、発行者固有のシリアル番号、発行者の署名アルゴリズム識別子、および有効期間も含まれています。
DER: Distinguished Encoding Rules for ASN.1, as defined in X.509, Section 8.7.
DER：X.509のセクション8.7で定義されているASN.1のDistinguished Encoding Rules。
Name: A type that uniquely identifies or "distinguishes" objects in a X.500 directory. This type is defined in X.501. In an X.509 certificate, the type identifies the certificate issuer and the entity whose public key is certified.
名前：X.500ディレクトリー内のオブジェクトを一意的に識別または「区別」するタイプ。このタイプはX.501で定義されています。 X.509証明書では、タイプは証明書の発行者と公開鍵が認証されているエンティティを識別します。
No symbols or abbreviations are defined in this document.
このドキュメントでは、記号や略語は定義されていません。
The next section specifies certification request syntax.
次のセクションでは、認証要求の構文を指定します。
This document exports one type, CertificationRequest.
このドキュメントは、1つのタイプ、CertificationRequestをエクスポートします。
This section gives the syntax for certification requests.
このセクションでは、認証要求の構文を示します。
A certification request consists of three parts: "certification request information," a signature algorithm identifier, and a digital signature on the certification request information. The certification request information consists of the entity's distinguished name, the entity's public key, and a set of attributes providing other information about the entity.
認証要求は、「認証要求情報」、署名アルゴリズム識別子、および認証要求情報のデジタル署名の3つの部分で構成されています。認証要求情報は、エンティティの識別名、エンティティの公開鍵、およびエンティティに関するその他の情報を提供する一連の属性で構成されます。
The process by which a certification request is constructed involves the following steps:
認証要求が作成されるプロセスには、以下のステップが含まれます。
1. A CertificationRequestInfo value containing a distinguished name, a public key, and optionally a set of attributes is constructed by an entity.
1. 識別名、公開鍵、およびオプションで一連の属性を含むCertificationRequestInfo値は、エンティティによって構築されます。
2. The CertificationRequestInfo value is signed with the entity's private key. (See Section 6.2.)
2. CertificationRequestInfo値は、エンティティの秘密鍵で署名されています。 （6.2項を参照してください。）
3. The CertificationRequestInfo value, a signature algorithm identifier, and the entity's signature are collected together into a CertificationRequest value, defined below.
3. CertificationRequestInfo値、署名アルゴリズム識別子、およびエンティティの署名は、以下で定義されるCertificationRequest値にまとめられます。
A certification authority fulfills the request by verifying the entity's signature, and, if it is valid, constructing a X.509 certificate from the distinguished name and public key, as well as an issuer name, serial number, validity period, and signature algorithm of the certification authority's choice. If the certification request contains a PKCS #9 extended-certificate-attributes attribute, the certification authority also constructs a PKCS #6 extended certificate from the X.509 certificate and the extended-certificate-attributes attribute value.
証明機関は、エンティティの署名を検証し、それが有効な場合は、識別名と公開キー、および発行者名、シリアル番号、有効期間、および署名アルゴリズムからX.509証明書を作成することにより、要求を満たします。証明機関の選択。認証要求にPKCS＃9拡張証明書属性属性が含まれている場合、認証局はX.509証明書と拡張証明書属性値からPKCS＃6拡張証明書も作成します。
In what form the certification authority returns the new certificate is outside the scope of this document. One possibility is a PKCS #7 cryptographic message with content type signedData, following the degenerate case where there are no signers. The return message may include a certification path from the new certificate to the certification authority. It may also include other certificates such as cross-certificates that the certification authority considers helpful, and it may include certificate-revocation lists (CRLs). Another possibility is that the certification authority inserts the new certificate into a central database.
証明機関が返す形式で新しい証明書はこのドキュメントの範囲外です。 1つの可能性は、署名者がいない退化したケースに続く、コンテンツタイプsignedDataのPKCS＃7暗号メッセージです。返信メッセージには、新しい証明書から認証局への証明書パスが含まれる場合があります。また、証明機関が役立つと考えるクロス証明書などの他の証明書が含まれていることや、証明書失効リスト（CRL）が含まれていることもあります。もう1つの可能性は、証明機関が新しい証明書を中央データベースに挿入することです。
This section is divided into two parts. The first part describes the certification-request-information type CertificationRequestInfo, and the second part describes the top-level type CertificationRequest.
このセクションは2つの部分に分かれています。最初の部分は、certification-request-informationタイプのCertificationRequestInfoを説明し、2番目の部分は、トップレベルのタイプのCertificationRequestを説明します。
Notes.
ノート。
1. An entity would typically send a certification request after generating a public-key/private-key pair, but may also do so after a change in the entity's distinguished name.
1. エンティティは通常、公開鍵/秘密鍵のペアを生成した後に認証要求を送信しますが、エンティティの識別名を変更した後に送信することもあります。
2. The signature on the certification request prevents an entity from requesting a certificate with another party's public key. Such an attack would give the entity the minor ability to pretend to be the originator of any message signed by the other party. This attack is significant only if the entity does not know the message being signed, and the signed part of the message does not identify the signer. The entity would still not be able to decrypt messages intended for the other party, of course.
2. 認証要求の署名により、エンティティが他の当事者の公開鍵を使用して証明書を要求することを防ぎます。このような攻撃は、エンティティに、相手が署名したメッセージの発信者であるかのように振る舞うマイナーな能力を与えます。この攻撃は、エンティティが署名されているメッセージを知らず、メッセージの署名された部分が署名者を識別しない場合にのみ重要です。もちろん、エンティティはまだ相手に向けられたメッセージを解読することができません。
3. How the entity sends the certification request to a certification authority is outside the scope of this document. Both paper and electronic forms are possible.
3. エンティティが証明機関に証明要求を送信する方法は、このドキュメントの範囲外です。紙と電子フォームの両方が可能です。
4. This document is not compatible with the certification request syntax for Privacy-Enhanced Mail, as described in RFC 1424. The syntax in this document differs in three respects: It allows a set of attributes; it does not include issuer name, serial number, or validity period; and it does not require an "innocuous" message to be signed. The syntax in this document is designed to minimize request size, an important constraint for those certification authorities accepting requests on paper.
4. このドキュメントは、RFC 1424で説明されている、プライバシー強化メールの認証要求構文と互換性がありません。このドキュメントの構文は、3つの点で異なります。属性のセットを許可します。発行者名、シリアル番号、有効期間は含まれません。また、「無害な」メッセージに署名する必要はありません。このドキュメントの構文は、要求のサイズを最小化するように設計されています。これは、書面で要求を受け入れる認証局にとって重要な制約です。
Certification request information shall have ASN.1 type CertificationRequestInfo:
認証要求情報は、ASN.1タイプのCertificateRequestInfoを持つ必要があります。
CertificationRequestInfo ::= SEQUENCE {
version Version,
subject Name,
subjectPublicKeyInfo SubjectPublicKeyInfo,
attributes [0] IMPLICIT Attributes }
Version ::= INTEGER
Attributes ::= SET OF Attribute
The fields of type CertificationRequestInfo have the following meanings:
タイプCertificationRequestInfoのフィールドには、次の意味があります。
o version is the version number, for compatibility with future revisions of this document. It shall be 0 for this version of the document.
o versionは、このドキュメントの将来のリビジョンとの互換性を保つためのバージョン番号です。このバージョンのドキュメントでは0になります。
o subject is the distinguished name of the certificate subject (the entity whose public key is to be certified).
o subjectは、証明書のサブジェクト（公開鍵が認証されるエンティティ）の識別名です。
o subjectPublicKeyInfo contains information about the public key being certified. The information identifies the entity's public-key algorithm (and any associated parameters); examples of public-key algorithms include X.509's rsa and PKCS #1's rsaEncryption. The information also includes a bit-string representation of the entity's public key. For both public-key algorithms just mentioned, the bit string contains the BER encoding of a value of X.509/PKCS #1 type RSAPublicKey.
o subjectPublicKeyInfoには、認証される公開鍵に関する情報が含まれています。この情報は、エンティティの公開鍵アルゴリズム（および関連するパラメータ）を識別します。公開鍵アルゴリズムの例には、X.509のrsaおよびPKCS＃1のrsaEncryptionが含まれます。この情報には、エンティティの公開鍵のビット文字列表現も含まれています。上記の両方の公開鍵アルゴリズムの場合、ビット文字列には、X.509 / PKCS＃1タイプRSAPublicKeyの値のBERエンコードが含まれています。
o attributes is a set of attributes providing additional information about the subject of the certificate. Some attribute types that might be useful here are defined in PKCS #9. An example is the challenge-password attribute, which specifies a password by which the entity may request that the certificate revocation. Another example is the extended-certificate-attributes attribute, which specifies attributes for a PKCS #6 extended certificate.
o attributesは、証明書のサブジェクトに関する追加情報を提供する一連の属性です。ここで役立ついくつかの属性タイプは、PKCS＃9で定義されています。例は、エンティティが証明書の失効を要求できるパスワードを指定するチャレンジパスワード属性です。別の例は、PKCS＃6拡張証明書の属性を指定するextended-certificate-attributes属性です。
A certification request shall have ASN.1 type CertificationRequest:
認証要求は、ASN.1タイプのCertificateRequestを持つ必要があります。
CertificationRequest ::= SEQUENCE {
certificationRequestInfo CertificationRequestInfo,
signatureAlgorithm SignatureAlgorithmIdentifier,
signature Signature }
SignatureAlgorithmIdentifier ::= AlgorithmIdentifier
Signature ::= BIT STRING
The fields of type CertificationRequest have the following meanings:
タイプCertificationRequestのフィールドには、次の意味があります。
o certificateRequestInfo is the "certification request information." It is the value being signed.
o certificateRequestInfoは、「認証要求情報」です。署名される値です。
o signatureAlgorithm identifies the signature algorithm (and any associated parameters) under which the certification-request information is signed. Examples include PKCS #1's md2WithRSAEncryption and md5WithRSAEncryption.
o signatureAlgorithmは、認証要求情報が署名される署名アルゴリズム（および関連するパラメーター）を識別します。例には、PKCS＃1のmd2WithRSAEncryptionおよびmd5WithRSAEncryptionが含まれます。
o signature is the result of signing the certification request information with the certification request subject's private key.
o 署名は、認証要求サブジェクトの秘密鍵を使用して認証要求情報に署名した結果です。
The signature process consists of two steps:
署名プロセスは2つのステップで構成されます。
1. The value of the certificationRequestInfo field is DER encoded, yielding an octet string.
1. certificateRequestInfoフィールドの値はDERエンコードされ、オクテット文字列を生成します。
2. The result of step 1 is signed with the certification request subject's private key under the specified signature algorithm, yielding a bit string, the signature.
2. ステップ1の結果は、指定された署名アルゴリズムの下で認証要求サブジェクトの秘密鍵で署名され、ビット文字列である署名が生成されます。
Note. The syntax for CertificationRequest could equivalently be written with the X.509 SIGNED macro:
注意。 CertificationRequestの構文は、X.509 SIGNEDマクロを使用して同等に記述できます。
CertificationRequest ::= SIGNED CertificateRequestInfo
Security Considerations
セキュリティに関する考慮事項
Security issues are discussed throughout this memo.
セキュリティの問題は、このメモ全体で議論されています。
Revision history
改訂履歴
Version 1.0
バージョン1.0
Version 1.0 is the initial version.
バージョン1.0が初期バージョンです。
Acknowledgements
謝辞
This document is based on a contribution of RSA Laboratories, a division of RSA Data Security, Inc. Any substantial use of the text from this document must acknowledge RSA Data Security, Inc. RSA Data Security, Inc. requests that all material mentioning or referencing this document identify this as "RSA Data Security, Inc. PKCS #10".
このドキュメントは、RSA Data Security、Incの一部門であるRSA Laboratoriesの寄稿に基づいています。このドキュメントのテキストを実質的に使用する場合は、RSA Data Security、Inc.に同意する必要があります。RSAData Security、Inc.このドキュメントでは、これを「RSA Data Security、Inc. PKCS＃10」として識別します。
Author's Address
著者のアドレス
Burt Kaliski RSA Laboratories East 20 Crosby Drive Bedford, MA 01730
Burt Kaliski RSA Laboratories East 20 Crosby Drive Bedford、MA 01730
Phone: (617) 687-7000 EMail: burt@rsa.com
電話：（617）687-7000メール：burt@rsa.com
Full Copyright Statement
完全な著作権表示
Copyright (C) The Internet Society (1998). All Rights Reserved.
Copyright（C）The Internet Society（1998）。全著作権所有。
This document and translations of it may be copied and furnished to others, and derivative works that comment on or otherwise explain it or assist in its implementation may be prepared, copied, published and distributed, in whole or in part, without restriction of any kind, provided that the above copyright notice and this paragraph are included on all such copies and derivative works. However, this document itself may not be modified in any way, such as by removing the copyright notice or references to the Internet Society or other Internet organizations, except as needed for the purpose of developing Internet standards in which case the procedures for copyrights defined in the Internet Standards process must be followed, or as required to translate it into languages other than English.
このドキュメントとその翻訳はコピーして他のユーザーに提供することができ、コメントまたはその他の方法で説明したり、その実装を支援する二次的著作物は、いかなる種類の制限なしに、全体または一部を準備、コピー、公開、および配布することができますただし、上記の著作権表示とこの段落は、そのようなすべてのコピーと派生物に含まれています。ただし、このドキュメント自体は、著作権に関する通知を削除したり、インターネットソサエティや他のインターネット組織への参照を削除したりするなど、いかなる方法でも変更できません。ただし、インターネット標準を開発する目的で必要な場合は除きます。インターネット標準のプロセスに従うか、または必要に応じて、それを英語以外の言語に翻訳する必要があります。
The limited permissions granted above are perpetual and will not be revoked by the Internet Society or its successors or assigns.
上記で付与された制限付きのアクセス許可は永続的であり、インターネットソサエティまたはその後継者または譲受人によって取り消されることはありません。
This document and the information contained herein is provided on an "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
このドキュメントとここに含まれる情報は「現状有姿」で提供され、インターネット社会およびインターネット技術タスクフォースは、明示または黙示を問わず、ここに記載されている情報の使用が保証するものに限定されない一切の保証を含みません。商品性または特定の目的への適合性に関する権利または黙示の保証を侵害すること。