Đăng ký nguồn
Hồ sơ nguồn gồm CA/TSA, chứng thư, trust anchor, OID chính sách và tài liệu CP/CPS/TSA phù hợp.
MOBILE-ID · TRUSTED LTANS
PKI và trạng thái chứng thư
Kiểm tra chuỗi chứng thư, dữ liệu trạng thái và nguồn tin cậy theo thời điểm đánh giá.
Kết quả và phạm vi sử dụng
Cấp đầu vào tin cậy có phiên bản cho tạo và kiểm chứng bằng chứng, giữ được ngữ cảnh đã dùng trong quá khứ.
Phạm vi tài liệu Quy trình thiết kế và hợp đồng tích hợp; cấu hình vận hành được xác nhận theo môi trường.
| Bạn cần chuẩn bị | Bạn nhận được |
|---|---|
| Yêu cầu dấu thời gian, trust anchor, chứng thư TSA, OCSP/CRL, thời điểm đánh giá và cấu hình HSM/KMS. | Token được kiểm tra, chuỗi tin cậy có phiên bản và kết quả trạng thái chứng thư có thời hạn hiệu lực. |
Bên thực hiện: Quản trị nguồn tin cậy, quản trị khóa và vận hành TSA/CA liên quan.
Quy trình và điểm quyết định
Kiểm tra phản hồi
Kiểm tra chữ ký, liên kết băm, thời gian và dữ liệu trạng thái. Timeout hoặc UNKNOWN phải có kết quả riêng.
Giữ vật liệu
Lưu tham chiếu hoặc bản sao có băm theo chính sách; giữ thời điểm thu thập và đánh giá, không thay dữ liệu lịch sử bằng bản hiện tại.
Đổi nguồn có kiểm soát
TSA dự phòng cần cùng điều kiện được duyệt; phiên bản nguồn mới phải qua kiểm thử tương thích và lưu lịch sử.
Trạng thái, điều kiện và thẩm quyền
| Hiện tại | Điều kiện | Chủ thể | Tiếp theo | Đầu ra / phục hồi |
|---|---|---|---|---|
| Nguồn đề xuất [mô hình] | Kiểm tra CA/TSA, policy và giao diện | Quản trị tin cậy | Nguồn được duyệt [mô hình] | Giữ bộ kiểm thử và phiên bản; logo nhà cung cấp không chứng minh tương thích. |
| Phản hồi nhận [mô hình] | Kiểm tra chữ ký, băm, thời gian và trạng thái | Trust Adapter | Chấp nhận / từ chối / chưa đủ căn cứ [mô hình] | UNKNOWN khác GOOD; timeout khác kết luận thu hồi. |
| Đổi nguồn [mô hình] | Nguồn dự phòng qua cùng kiểm soát được duyệt | Trust + Operations | Phiên bản nguồn mới [mô hình] | Giữ vật liệu và nguồn lịch sử; không ghi đè chứng thư cũ. |
Ngoại lệ và kiểm soát
| Tình huống | Cách xử lý | Ranh giới |
|---|---|---|
| OCSP UNKNOWN | Ghi trạng thái không xác định và xử lý theo chính sách. | Không suy ra GOOD. |
| Khóa hoặc chứng thư đổi | Luân chuyển và kiểm tra liên kết theo hồ sơ. | Không ghi đè hồ sơ nguồn lịch sử. |
| HSM/KMS chưa cấu hình | Trình bày là phụ thuộc triển khai. | Không khẳng định khóa đã được bảo vệ bởi HSM cụ thể. |
Quyền, phê duyệt và phục hồi
Kiểm tra EKU của TSA, MessageImprint, ESSCertIDv2 khi áp dụng và độ mới OCSP. HSM bảo vệ khóa, không tự tạo tính hợp lệ của bằng chứng.
OCSP UNKNOWN khác GOOD. Lỗi trạng thái cần chính sách xử lý rõ; bổ sung CRL/OCSP hợp lệ hoặc chuyển ngữ cảnh đánh giá sang INDETERMINATE.
Đầu ra đối soát và nghiệm thu
Giữ chứng thư TSA, nguồn tin cậy, băm token, kết quả OCSP/CRL và thời điểm đánh giá; không thay dữ liệu lịch sử bằng trạng thái hiện tại.
- Token sai
MessageImprint, chứng thư không tin cậy và OCSP UNKNOWN phải cho các lý do khác nhau. - Đổi TSA giữ được nguồn token cũ và khả năng giải thích chuỗi bằng chứng trước đó.
Tích hợp và hợp đồng dữ liệu
Module có thao tác quản trị chưa có endpoint ghi công khai. Xem phạm vi giao diện và điều kiện triển khai.
Đầu vào kỹ thuật và căn cứ
| Thành phần | Định nghĩa |
|---|---|
| Đầu vào | Yêu cầu dấu thời gian, trust anchor, chứng thư TSA, OCSP/CRL, thời điểm đánh giá và cấu hình HSM/KMS. |
| Đầu ra | Token được kiểm tra, chuỗi tin cậy có phiên bản và kết quả trạng thái chứng thư có thời hạn hiệu lực. |
Ba lớp tài liệu khác nhau
| Lớp | Tài liệu | Nội dung cần đối chiếu |
|---|---|---|
| CA | CP / CPS | OID chính sách, chuỗi chứng thư, cấp/thu hồi và phạm vi trách nhiệm |
| TSA | Chính sách và quy chế thực hành dấu thời gian | OID TSA, nguồn thời gian, chứng thư và xử lý sự cố |
| LTANS | Chính sách bảo quản và hồ sơ dịch vụ | Custody, kiểm chứng, gia hạn, lưu giữ và chuyển giao |
Danh mục cần cấu hình trước vận hành
- Chọn CA/TSA và URL tài liệu chính thức theo triển khai; ghi phiên bản, ngày và băm bản sao.
- Xác định chứng thư, trust anchor và chính sách được phép; lưu ngữ cảnh dùng khi kiểm chứng.
- Không gắn CPS của một CA cho toàn dịch vụ LTANS hoặc mọi CA được hỗ trợ.