Skip to main content

RFC 5280 - Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile

发布日期: 2008年5月
状态: 标准跟踪协议 (Standards Track)
作者: D. Cooper (NIST), S. Santesson (Microsoft), S. Farrell (Trinity College Dublin), S. Boeyen (Entrust), R. Housley (Vigil Security), W. Polk (NIST)
废止: RFC 3280, RFC 4325, RFC 4630

摘要 (Abstract)​

本文档为互联网使用定义了X.509 v3证书 (X.509 v3 Certificate) 和X.509 v2证书撤销列表 (Certificate Revocation List, CRL) 的配置文件 (Profile)。本文档提供了该方法和模型的概述作为引言。详细描述了X.509 v3证书格式，并提供了关于互联网名称形式的格式和语义的附加信息。描述了标准证书扩展，并定义了两个互联网特定扩展。规定了一组必需的证书扩展。详细描述了X.509 v2 CRL格式以及标准和互联网特定扩展。描述了X.509证书路径验证算法。在附录中提供了ASN.1模块和示例。

目录 (Table of Contents)​

主要章节​

附录 (Appendices)​

相关资源​

关键概念速览​

什么是X.509证书?​

X.509证书是一种数字文档，用于在互联网上证明身份和建立安全通信。它是HTTPS、TLS/SSL、代码签名、电子邮件加密等技术的基础。

核心作用:

  • 身份验证: 证明"你是谁"
  • 公钥分发: 安全地分发公钥
  • 信任链: 通过证书颁发机构 (CA) 建立信任

证书的基本结构​

Certificate ::= SEQUENCE {
    tbsCertificate       TBSCertificate,
    signatureAlgorithm   AlgorithmIdentifier,
    signatureValue       BIT STRING
}

主要扩展​

  • Key Usage (密钥用途): 定义证书公钥的用途
  • Extended Key Usage (扩展密钥用途): 更具体的用途说明
  • Subject Alternative Name (SAN): 支持多个域名/IP
  • Basic Constraints: 标识是否为CA证书
  • CRL Distribution Points: 证书撤销列表下载地址

证书撤销​

CRL (Certificate Revocation List): 由CA维护的已撤销证书列表

OCSP (Online Certificate Status Protocol): 实时检查证书状态的协议

重要性: RFC 5280是互联网PKI的核心标准，定义了如何使用X.509证书来保护互联网通信。理解本规范对于实现安全的TLS/SSL、代码签名、电子邮件加密等系统至关重要。

Last updated on