Artikel ini menjelaskan persyaratan yang harus dipenuhi setiap sertifikat dalam rantai X.509 agar dipercaya untuk digunakan dengan email terenkripsi atau yang ditandatangani S/MIME.
Selain persyaratan ini, rantai harus berlabuh ke sertifikat Certificate Authority (CA) yang secara eksplisit dipercaya oleh Google untuk tujuan ini. Anda juga dapat memilih menerima root certificate dari CA yang Anda percaya. Untuk mengetahui informasi selengkapnya, buka pedoman sertifikat root.
Catatan:
- Google menyediakan dan mengelola daftar sertifikat CA yang dipercaya oleh Gmail untuk S/MIME. Daftar CA dipercaya semata-mata atas kebijaksanaan Google. Google berhak menghapus root CA kapan saja tanpa pemberitahuan.
- Pastikan ekstensi yang diinstal tidak bertentangan dengan ekstensi lain dalam sertifikat yang sama. Misalnya, jika nsCertTypes ditentukan, nsCertTypes tersebut harus mencakup penggunaan yang sama persis dengan ekstensi penggunaan kunci, ekstensi penggunaan kunci yang diperluas, dan ekstensi batasan dasar.
Aturan rantai sertifikat
Root CA
| Kolom | Nilai |
|---|---|
|
DN Penerbit |
Harus mengidentifikasi CA. Misalnya, DN tidak boleh berupa nilai generik seperti "Certificate Authority". |
|
DN Subjek |
Bentuk yang dienkode harus identik setiap byte-nya dengan DN Penerbit. |
|
Info Kunci Publik Subjek |
rsaEncryption dengan modulus RSA 2048, 3072, atau 4096. Atau ecPublicKey yang menggunakan secp256r1 atau secp384r1. |
Sertifikat CA perantara selain dari CA menengah penerbit
Gunakan informasi ini jika ada lebih dari satu CA perantara antara root dan entitas akhir, baik secara langsung maupun tidak langsung.
CA perantara penerbit adalah CA perantara yang menerbitkan sertifikat entitas akhir. Bagian ini berlaku untuk CA perantara mana pun dalam rantai selain CA perantara penerbit.
| Kolom | Nilai | ||
|---|---|---|---|
| Versi | Versi 3 | ||
| Nomor Seri | Harus lebih besar dari nol (0). Ketika DER dienkode sebagai INTEGER, harus kurang dari atau sama dengan 20 byte. | ||
| Algoritme Tanda Tangan | RSA dengan SHA‐256, SHA‐384, atau SHA‐512. Atau ECDSA dengan SHA‐256, SHA‐384, atau SHA‐512 | ||
| DN Penerbit |
Harus identik setiap byte-nya dengan DN Subjek CA penerbit. |
||
| Periode Validitas | Tanpa syarat | ||
| DN Subjek | Tanpa syarat | ||
| Info Kunci Publik Subjek |
rsaEncryption dengan modulus RSA 2048, 3072, atau 4096. Atau ecPublicKey yang menggunakan secp256r1 atau secp384r1 |
||
| Ekstensi | Kehadiran | Kritis | Nilai |
| Penggunaan Kunci | Wajib | Ya |
Posisi bit harus ditetapkan untuk: keyCertSign |
| Batasan Dasar | Wajib | Ya | cA field must be set true pathLenConstraint field should be present |
| Poin Distribusi CRL | Wajib | Tidak |
Minimal satu uniformResourceIdentifier HTTP |
| (catatan) | Server pencabutan harus mematuhi bagian berikut dari Kebijakan Sertifikat Persyaratan Dasar CA/Browser Forum untuk Penerbitan dan Pengelolaan Sertifikat yang Tepercaya secara Publik, versi 1.3.2 atau yang lebih baru:
|
||
| Ekstensi lainnya | Mungkin ada | ||
Sertifikat CA menengah yang menerbitkan entitas akhir
Penting: Setidaknya satu sertifikat CA perantara harus ada di dalam rantai. Artinya, root tidak boleh menerbitkan sertifikat entitas akhir secara langsung.
| Kolom | Nilai | ||
|---|---|---|---|
| Versi | Versi 3 | ||
| Nomor Seri | Harus lebih besar dari nol (0), dan, jika DER dienkode sebagai INTEGER, harus kurang dari atau sama dengan 20 byte. | ||
| Algoritme Tanda Tangan |
RSA dengan SHA‐256, SHA‐384, atau SHA‐512. Atau ECDSA dengan SHA‐256, SHA‐384, atau SHA‐512. |
||
| DN Penerbit |
Harus identik setiap byte-nya dengan DN Subjek CA penerbit. |
||
| Periode Validitas |
Perbedaan antara notBefore dan notAfter Sebaiknya tidak lebih dari 10 tahun dan tidak boleh lebih dari 20 tahun. |
||
| DN Subjek |
Harus menunjukkan penggunaan CA. |
||
| Info Kunci Publik Subjek |
rsaEncryption dengan modulus RSA 2048, 3072, atau 4096. Atau ecPublicKey yang menggunakan secp256r1 atau secp384r1 |
||
| Ekstensi | Kehadiran | Kritis | Nilai |
| Penggunaan Kunci | Wajib | Ya |
Posisi bit harus ditetapkan untuk: Posisi bit lain tidak boleh disetel |
| Penggunaan Kunci yang Diperpanjang | Wajib | Salah satu | Harus ada: emailProtection Tidak boleh ada: serverAuth codeSigning timeStamping anyExtendedKeyUsage |
|
Batasan Dasar |
Wajib | Ya |
cA field must be set true |
| Kebijakan Sertifikat | Opsional | Tidak |
policyIdentifier HARUS diberikan untuk mengidentifikasi kebijakan yang menjadi dasar operasi CA, dan TIDAK BOLEH anyPolicy. |
| Poin Distribusi CRL | Wajib | Tidak |
Setidaknya satu uniformResourceIdentifier HTTP |
| (catatan) |
Server pencabutan harus beroperasi sesuai dengan pasal berikut dari Kebijakan Sertifikat Persyaratan Dasar Forum CA/Browser untuk Penerbitan dan Pengelolaan Sertifikat yang Tepercaya secara Publik, versi 1.3.2 atau yang lebih baru:
|
||
| Ekstensi lainnya | Opsional | Tidak |
Boleh ada. |
Sertifikat entitas akhir
| Kolom | Nilai | ||
|---|---|---|---|
| Versi | Versi 3 | ||
| Nomor Seri |
Harus lebih besar dari nol (0) dan minimal harus terdiri dari 64 bit yang tidak dapat diprediksi. Catatan: Akan diperbarui untuk mencerminkan persyaratan entropi nomor seri entitas akhir Kebijakan Sertifikat Persyaratan Dasar CA/Browser Forum. |
||
| Algoritme Tanda Tangan | RSA dengan SHA‐256, SHA‐384, atau SHA‐512. Atau ECDSA dengan SHA‐256, SHA‐384, atau SHA‐512. | ||
| DN Penerbit |
Harus identik setiap byte-nya dengan DN Subjek CA penerbit. |
||
| Periode Validitas |
Perbedaan antara notBefore dan notAfter tidak boleh lebih dari 27 bulan. Waktu notBefore harus merepresentasikan waktu tanda tangan kurang-lebih 48 jam. |
||
| DN Subjek |
Nama yang Dibedakan Relatif Subjek apa pun selain alamat email harus divalidasi secara ketat sebelum penerbitan, menggunakan prosedur yang diaudit dan didokumentasikan secara publik. Lihat Bagian 3.2.3 "Authentication of Individual Identity" dalam CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates, versi 1.3.2 atau yang lebih baru untuk mengetahui prosedur yang dapat diterima. Alamat email apa pun (misalnya di kolom commonName atau emailAddress) harus ada juga dalam ekstensi Nama Alternatif Subjek sebagai rfc822Name. |
||
| Info Kunci Publik Subjek |
rsaEncryption dengan modulus RSA 2048, 3072, atau 4096. Atau ecPublicKey yang menggunakan secp256r1 atau secp384r1 |
||
| Ekstensi | Kehadiran | Kritis | Nilai |
| Penggunaan Kunci (RSA) | Wajib | Ya |
Posisi bit harus ditetapkan untuk: Posisi bit lain tidak boleh disetel. |
| Penggunaan Kunci (ECDH) | Wajib |
Posisi bit harus ditetapkan untuk: Posisi bit lain tidak boleh disetel. |
|
| Penggunaan Kunci yang Diperpanjang | Wajib | Salah satu |
Harus ada: |
|
Batasan Dasar |
Opsional | Salah satu |
Jika ada, kolom cA tidak boleh disetel ke benar |
| Kebijakan Sertifikat | Wajib | Tidak |
Harus ada: policyIdentifier harus diberikan yang mengidentifikasi kebijakan yang digunakan untuk menerbitkan sertifikat, dan tidak boleh anyPolicy. Mungkin ada: cps, jika ada, harus berisi link HTTP atau HTTPS yang valid ke CPS tempat sertifikat diterbitkan. |
|
Akses Informasi Otoritas |
Opsional | Tidak |
caIssuers dan, jika ada, ocsp, harus berisi setidaknya satu uniformResourceIdentifier HTTP yang dapat diakses secara publik. AccessDescription tidak boleh berisi label atau parameter apa pun yang bersifat khusus untuk sertifikat individual. |
| Poin Distribusi CRL | Wajib | Tidak |
Setidaknya satu HTTPuniformResourceIdentifier yang dapat diakses secara publik |
|
(catatan) |
Server pencabutan harus beroperasi sesuai dengan bagian berikut dalam Kebijakan Sertifikat Persyaratan Dasar CA/Browser Forum untuk Penerbitan dan Pengelolaan Sertifikat yang Tepercaya secara Publik, versi 1.3.2 atau yang lebih baru:
|
||
|
Nama Alternatif Subjek |
Wajib | Tidak |
Harus berisi setidaknya satu item dengan jenis rfc822Name. |
|
Ekstensi lainnya |
Opsional | Tidak | Boleh ada. |