Specifikation av CA-certifikat för SITHS

Transkript

1 Specifikation av CA-certifikat för SITHS

2 Innehållsförteckning Dokumentets syfte och målgrupp... 3 Specifikation av SITHS Root CA v1-certifikat... 4 Specifikation av SITHS Type 1 CA v1-certifikat... 6 Specifikation av SITHS Type 2 CA v1-certifikat... 8 Specifikation av SITHS Type 3 CA v1-certifikat Appendix 1 specifikation av metadata för CA-certifikat SITHS Root CA v SITHS Type 1 CA v SITHS Type 2 CA v SITHS Type 3 CA v Versionshistorik Version Författare Kommentar 1.0 Conny Balazs Första utgåva, Sid 2/13

3 Specifikation av CA-certifikat för SITHS Dokumentets syfte och målgrupp Syftet med dokumentet är att beskriva specifikationerna CAs skall efterfölja vid verkan inom SITHS. Målgrupp för denna dokumentation är SITHS Förvaltningsgrupp, SITHS Utvecklingsforum, Infrastrukturområdets programstyrgrupp och ansluta RA-organisationer. Sid 3/13

4 Specifikation av SITHS Root CA v1-certifikat Följande tabell listar de attribut root CA-certifikat skall inneha samt vilka värden respektive attribut skall innehålla. Attribut Värde / non Datatyp version 3 Integer serialnumber <Randomiserad med hemlig algoritm i CAsystemet> Integer signaturealgorithm sha-1withrsaencryption (NULL) issuer countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Root CA v1 UTF8 String validity* notbefore <Starttid> UTC Time notafter <Sluttid> UTC Time subject countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Root CA v1 UTF8 String subjectpublickeyinfo algorithm rsaencryption (NULL) subjectpublickey** <Publik RSA-nyckel> Bitstring certificatepolicies*** keyusage [1]Certificate Policy: Policy Identifier= [1,1]Policy Qualifier Info: Policy Qualifier Id=CPS Qualifier: Certificate signing, CRL Signing, Off-line CRL signing Non subjectkeyidentifier Non Octet string, CPSpointer=IA5 string Octet string keyidentifier <160 bit SKI> Octet string Sid 4/13

5 basicconstraints Subject Type=CA Octet string, Bolean, integer Signature <RSA-signatur över sha1-hash> Bit string * - Giltighetstiden är 20 år för SITHS Root CA v1 ** - Nyckellängd för SITHS Root CA v1 är 4096 bitar *** - OID för CPS tilldelas av Inera efter godkännande av CPS Sid 5/13

6 Specifikation av SITHS Type 1 CA v1-certifikat Följande tabell listar de attribut SITHS Type 1 CA v1-certifikat skall inneha samt vilka värden respektive attribut skall innehålla. Attribut Värde / non version 3 Integer serialnumber <Randomiserad med hemlig algoritm i CA-systemet> Integer Datatyp signaturealgorithm sha-1withrsaencryption (NULL) issuer countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Root CA v1 UTF8 String validity* notbefore <Starttid> UTC Time notafter <Sluttid> UTC Time subject countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Type 1 CA v1 UTF8 String subjectpublickeyinfo algorithm rsaencryption (NULL) subjectpublickey** <Publik RSA-nyckel> Bitstring certificatepolicies*** [1]Certificate Policy: Policy Identifier= [1,1]Policy Qualifier Info: Policy Qualifier Id=CPS Qualifier: Non Octet string, CPSpointer=IA5 string keyusage crldistributionpoints Certificate signing, CRL Signing, Off-line CRL signing [1]CRL Distribution Point Distribution Point Name: Full Name: URL= [2]CRL Distribution Point Distribution Point Name: Full Name: URL= Non Octet string Octet string, URLpointer= Context specific authoritykeyidentifier <subjectkeyidentifier för Root CA> Non Octet string, SKI= Context specific Sid 6/13

7 authorityinformationaccess subjectkeyidentifier [1]Authority Info Access Access Method=On-line Certificate Status Protocol ( ) URL= [2]Authority Info Access Access Method=On-line Certificate Status Protocol ( ) URL= [3]Authority Info Access Access Method=Certification Authority Issuer ( ) URL= [4]Authority Info Access Access Method=Certification Authority Issuer ( ) URL= Non Non keyidentifier <160 bit SKI> Octet string basicconstraints Subject Type=CA Path Length Constraint=0 Signature <RSA-signatur över sha1-hash> Bit string Octet string, URL-pointer= Context specific Octet string, Bolean, integer * - Giltighetstid för SITHS Type 1 CA v1 är 10 år ** - Nyckellängd för SITHS Type 1 CA v1 är 4096 bitar *** - OID för CPS tilldelas av Inera efter godkännande av CPS Sid 7/13

8 Specifikation av SITHS Type 2 CA v1-certifikat Följande tabell listar de attribut SITHS Type 2 CA v1-certifikat skall inneha samt vilka värden respektive attribut skall innehålla. Attribut Värde / non version 3 Integer serialnumber <Randomiserad med hemlig algoritm i CA-systemet> Integer Datatyp signaturealgorithm sha-1withrsaencryption (NULL) issuer countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Root CA v1 UTF8 String validity* notbefore <Starttid> UTC Time notafter <Sluttid> UTC Time subject countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Type 2 CA v1 UTF8 String subjectpublickeyinfo algorithm rsaencryption (NULL) subjectpublickey** <Publik RSA-nyckel> Bitstring certificatepolicies*** [1]Certificate Policy: Policy Identifier= [1,1]Policy Qualifier Info: Policy Qualifier Id=CPS Qualifier: Non Octet string, CPSpointer=IA5 string keyusage crldistributionpoints Certificate signing, CRL Signing, Off-line CRL signing [1]CRL Distribution Point Distribution Point Name: Full Name: URL= [2]CRL Distribution Point Distribution Point Name: Full Name: URL= Non Octet string Octet string, URLpointer= Context specific authoritykeyidentifier <subjectkeyidentifier för Root CA> Non Octet string, SKI= Context specific Sid 8/13

9 authorityinformationaccess subjectkeyidentifier [1]Authority Info Access Access Method=On-line Certificate Status Protocol ( ) URL= [2]Authority Info Access Access Method=On-line Certificate Status Protocol ( ) URL= [3]Authority Info Access Access Method=Certification Authority Issuer ( ) URL= [4]Authority Info Access Access Method=Certification Authority Issuer ( ) URL= Non Non keyidentifier <160 bit SKI> Octet string basicconstraints Subject Type=CA Path Length Constraint=0 Signature <RSA-signatur över sha1-hash> Bit string Octet string, URL-pointer= Context specific Octet string, Bolean, integer * - Giltighetstid för SITHS Type 2 CA v1 är 10 år ** - Nyckellängd för SITHS Type 2 CA v1 är 4096 bitar *** - OID för CPS tilldelas av Inera efter godkännande av CPS Sid 9/13

10 Specifikation av SITHS Type 3 CA v1-certifikat Följande tabell listar de attribut SITHS Type 3 CA v1-certifikat skall inneha samt vilka värden respektive attribut skall innehålla. Attribut Värde / non version 3 Integer serialnumber <Randomiserad med hemlig algoritm i CA-systemet> Integer Datatyp signaturealgorithm sha-512withrsaencryption (NULL) issuer countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Root CA v1 UTF8 String validity* notbefore <Starttid> UTC Time notafter <Sluttid> UTC Time subject countryname SE Printable String organizationname Inera AB UTF8 String commonname SITHS Type 3 CA v1 UTF8 String subjectpublickeyinfo algorithm rsaencryption (NULL) subjectpublickey** <Publik RSA-nyckel> Bitstring certificatepolicies*** [1]Certificate Policy: Policy Identifier= [1,1]Policy Qualifier Info: Policy Qualifier Id=CPS Qualifier: Non Octet string, CPSpointer=IA5 string keyusage crldistributionpoints Certificate signing, CRL Signing, Off-line CRL signing [1]CRL Distribution Point Distribution Point Name: Full Name: URL= [2]CRL Distribution Point Distribution Point Name: Full Name: URL= Non Octet string Octet string, URLpointer= Context specific authoritykeyidentifier <subjectkeyidentifier för Root CA> Non Octet string, SKI= Context specific Sid 10/13

11 authorityinformationaccess subjectkeyidentifier [1]Authority Info Access Access Method=On-line Certificate Status Protocol ( ) URL= [2]Authority Info Access Access Method=On-line Certificate Status Protocol ( ) URL= [3]Authority Info Access Access Method=Certification Authority Issuer ( ) URL= [4]Authority Info Access Access Method=Certification Authority Issuer ( ) URL= Non Non keyidentifier <160 bit SKI> Octet string basicconstraints Subject Type=CA Path Length Constraint=0 Signature <RSA-signatur över sha512-hash> Bit string Octet string, URL-pointer= Context specific Octet string, Bolean, integer * - Giltighetstid för SITHS Type 3 CA v1 är 10 år ** - Nyckellängd för SITHS Type 3 CA v1 är 4096 bitar *** - OID för CPS tilldelas av Inera efter godkännande av CPS Sid 11/13

12 Appendix 1 specifikation av metadata för CA-certifikat SITHS Root CA v1 Följande tabell listar det metadata som skall knytas till SITHS Root CA v1 vid medlemskapsansökan till Microsoft Root CA program. friendlyname SITHS Root CA v1 enhancedkeyusage Server Authentication = Client Authentication = Secure EKU= Code Signing EKU= Time stamping EKU= OCSP EKU= Encrypting File System EKU= IPSec (Tunnel, User) EKU= , thumbprintalgorithm sha1 Thumbprint <sha1-hash> SITHS Type 1 CA v1 Följande tabell listar det metadata som skall knytas till SITHS Type 1 CA v1 vid medlemskapsansökan till Microsoft Root CA program. friendlyname SITHS Type 1 CA v1 enhancedkeyusage Server Authentication = Client Authentication = Secure EKU= Code Signing EKU= Time stamping EKU= OCSP EKU= Encrypting File System EKU= IPSec (Tunnel, User) EKU= , thumbprintalgorithm sha1 Thumbprint <sha1-hash> Sid 12/13

13 SITHS Type 2 CA v1 Följande tabell listar det metadata som skall knytas till SITHS Type 2 CA v1 vid medlemskapsansökan till Microsoft Root CA program. friendlyname SITHS Type 2 CA v1 enhancedkeyusage Server Authentication = Client Authentication = Secure EKU= Code Signing EKU= Time stamping EKU= OCSP EKU= Encrypting File System EKU= IPSec (Tunnel, User) EKU= , thumbprintalgorithm sha1 Thumbprint <sha1-hash> SITHS Type 3 CA v1 Följande tabell listar det metadata som skall knytas till SITHS Type 3 CA v1 vid medlemskapsansökan till Microsoft Root CA program. friendlyname SITHS Type 3 CA v1 enhancedkeyusage Server Authentication = Client Authentication = Secure EKU= Code Signing EKU= Time stamping EKU= OCSP EKU= Encrypting File System EKU= IPSec (Tunnel, User) EKU= , thumbprintalgorithm sha1 Thumbprint <sha1-hash> Sid 13/13