[B! CRL] akakitのブックマーク

自堕落な技術者の日記 : XAdESにおける発行者名前比較の問題(第3回) - livedoor Blog（ブログ）

基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 ≪第2回へ前回はETSI 101 903 XAdES v1.3.2における発行者識別名の一致検証の記述について説明しました。今回は、XAdESと似たCMSバイナリ形式の長期署名フォーマットCAdESだってSigningCertificate、CompleteCertificateRefs、CompleteRevocationRefsが同じようにあるのに何故CAdESでは問題にならないのか、また、XAdESの元の仕様であるXML署名を規定したXMLDSigだってIssuerSerialはあるのに何故問題にならないのか、RFC 2253の説明に入る前に少し寄り道して説明したいと思います。証明書・CRL・OCSP応答の(発行者)識別名の定義と

akakit 2008/10/15

リンク

自堕落な技術者の日記 : XAdESにおける発行者名前比較の問題(第2回) - livedoor Blog（ブログ）

基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 ≪前回(第一回)|次回(第3回)≫ 前回は、XAdESにおいては識別名の一致確認に問題があるという紹介をしたところまででした。今回は、XAdESの仕様はどうなっているのかを見ていきましょう。 XAdESにおける検証情報中の発行者名一致確認の要件 ETSI TS 101 903 XAdES v1.3.2では、Annex G (informative): Details on XAdES signatures validationに検証続きが説明されており、CompleteCertificateRefsの証明書参照情報の検証方法については以下のように規定されています。 (注：厳密には規定でないことは後述) G.2.2.12 Checking C

akakit 2008/10/15

リンク

自堕落な技術者の日記 : XAdESにおける発行者名前比較の問題(第1回) - livedoor Blog（ブログ）

基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通前から書こうと思っていたんですが、やっと時間が取れそうなのでXML形式の長期署名フォーマットXAdESにおける証明書等の名前比較の問題提起について数回に分けて触れていこうと思います。はじめに W3CのXML署名(XMLDSIG)を拡張した長期署名フォーマットであるXAdESでは、署名者が署名に用いた証明書やこれを検証に用いた証明書、証明書失効リスト(CRL)、OCSP応答が将来不正に置き換えができないように以下のような検証情報のリストをSigningCertificate、CompleteCertificateRefs、CompleteRevocationRefsとったプロパティに保持しています。先に例を示した方が早いと思うので、Sign