2. 清单编号处理

2. 清单编号处理

对于给定 CA, 如果该 CA 发布的新 manifest 与之前已验证 manifest 的 filename 不同, RP MUST NOT 仅因为新 manifest 的 manifestNumber 不高于之前已验证 manifest 而拒绝它. 换言之, 当 CA 更改其 manifest filename 时, RP 会重置该 CA 的已存储 manifestNumber. 这是对 [RFC9286] Section 4.2.1 的更新.

除非需要解决本文描述的永久失效问题, CA SHOULD NOT 使用新的 manifest filename. 当给定 CA 的 manifest filename 发生变化时, RP MUST alert 其 operator.

RFC 9286 要求 RP 检查新 manifest 是否具有更大的 manifestNumber, 以及是否具有比 cached manifest 更新的 thisUpdate. 在 filename 变化后, RP 会暂时省略 manifestNumber 检查, 但只要仍执行 thisUpdate 检查, 就仍能防御 replay attacks.