In dit artikel staan de vereisten waaraan elk certificaat in een X.509-keten moet voldoen om te worden vertrouwd voor gebruik met versleutelde of S/MIME-ondertekende e-mails.
Naast deze vereisten moet de keten verankerd zijn in een certificaat van een certificeringsinstantie (CA) dat expliciet door Google wordt vertrouwd voor dit doel. U kunt er ook voor kiezen rootcertificaten te accepteren van CA's die u vertrouwt. Ga naar de richtlijnen voor rootcertificaten voor meer informatie.
Opmerkingen:
- Google levert en onderhoudt een lijst met CA-certificaten die door Gmail worden vertrouwd voor S/MIME. De CA's worden naar eigen goeddunken vertrouwd door Google. Google behoudt zich het recht voor om root-CA's op elk moment zonder kennisgeving te verwijderen.
- Zorg dat geïnstalleerde extensies niet in strijd zijn met andere extensies in hetzelfde certificaat. Als nsCertTypes bijvoorbeeld zijn gedefinieerd, moeten ze exact dezelfde toepassingen dekken als de extensie voor sleutelfuncties, de extensie voor uitgebreide sleutelfuncties en de extensie voor basisbeperkingen.
Regels voor certificaatketens
Hoofd-CA
| Veld | Waarde |
|---|---|
|
Issuer DN (DN uitgever) |
Hierin moet de naam van de CA staan. De DN mag geen algemene waarde zijn, zoals Certificeringsinstantie. |
|
Subject DN (DN onderwerp) |
De gecodeerde vorm moet byte voor byte identiek zijn aan de Issuer DN. |
|
Ontvanger Public Key Info |
rsaEncryption met een RSA-modulus van 2048, 3072 of 4096. Of ecPublicKey met secp256r1 of secp384r1. |
Andere tussenliggende CA-certificaten dan het uitgevende tussenliggende CA-certificaat
Gebruik deze informatie als er rechtstreeks of onrechtstreeks meer dan één tussenliggende CA tussen de root en de eindentiteit zit.
De uitgevende tussenliggende CA is de tussenliggende CA die het certificaat van de eindentiteit uitgeeft. Dit gedeelte is van toepassing op alle tussenliggende CA's in de keten, behalve de uitgevende tussenliggende CA.
| Veld | Waarde | ||
|---|---|---|---|
| Version (Versie) | Version 3 (Versie 3). | ||
| Serienummer | Moet groter zijn dan nul (0). Als DER is gecodeerd als INTEGER, moet deze waarde minder dan of gelijk aan 20 bytes zijn. | ||
| Signature Algorithm (Algoritme handtekening) | RSA met SHA‐256, SHA‐384 of SHA‐512. Of ECDSA met SHA‐256, SHA‐384 of SHA‐512 | ||
| Issuer DN (DN uitgever) |
Moet byte voor byte identiek zijn aan de Subject DN van de uitgevende CA. |
||
| Validity Period (Geldigheidsperiode) | Niet van toepassing. | ||
| Subject DN (DN onderwerp) | Niet van toepassing. | ||
| Ontvanger Public Key Info |
rsaEncryption met een RSA-modulus van 2048, 3072 of 4096. Of ecPublicKey met secp256r1 of secp384r1 |
||
| Extensie | Aanwezigheid | Kritiek | Waarde |
| Key Usage (Sleutelgebruik) | Vereist | Ja |
Bitposities moeten zijn ingesteld voor: keyCertSign |
| Basic Constraints (Algemene beperkingen) | Vereist | Ja | cA-veld moet zijn ingesteld op Waar het veld pathLenConstraint moet aanwezig zijn |
| CRL Distribution Points (CRL-distributiepunten) | Vereist | Nee |
Er moet minimaal één openbaar toegankelijke HTTP |
| (opmerking) | Intrekkingsservers moeten voldoen aan de volgende gedeelten van het CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates,versie 1.3.2 of hoger:
|
||
| Andere extensies | Mogen aanwezig zijn. | ||
Tussenliggend CA-certificaat dat de eindentiteit uitgeeft
Belangrijk: Er moet zich minstens 1 CA-tussencertificaat in de keten bevinden. De root-CA mag niet rechtstreeks eindgebruikercertificaten uitgeven.
| Veld | Waarde | ||
|---|---|---|---|
| Version (Versie) | Version 3 (Versie 3). | ||
| Serienummer | Moet groter zijn dan nul (0). Als DER is gecodeerd als INTEGER, moet deze waarde minder dan of gelijk aan 20 bytes zijn. | ||
| Signature Algorithm (Algoritme handtekening) |
RSA met SHA‐256, SHA‐384 of SHA‐512. Of ECDSA met SHA‐256, SHA‐384 of SHA‐512. |
||
| Issuer DN (DN uitgever) |
Moet byte voor byte identiek zijn aan de Subject DN van de uitgevende CA. |
||
| Validity Period (Geldigheidsperiode) |
Het verschil tussen notBefore en notAfter We raden u aan dit niet langer te maken dan 10 jaar; het mag niet langer zijn dan 20 jaar. |
||
| Subject DN (DN onderwerp) |
Moet het gebruik van de CA aangeven. |
||
| Ontvanger Public Key Info |
rsaEncryption met een RSA-modulus van 2048, 3072 of 4096. Of ecPublicKey met secp256r1 of secp384r1 |
||
| Extensie | Aanwezigheid | Kritiek | Waarde |
| Key Usage (Sleutelgebruik) | Vereist | Ja |
Bitposities moeten zijn ingesteld voor: Er mogen geen andere bitposities worden ingesteld. |
| Extended Key Usage (Uitgebreid sleutelgebruik) | Vereist | Mogelijk | Moet aanwezig zijn: emailProtection Mag niet aanwezig zijn: serverAuth codeSigning timeStamping anyExtendedKeyUsage |
|
Basic Constraints (Algemene beperkingen) |
Vereist | Ja |
cA field must be set true |
| Certificate Policies (Certificaatbeleid) | Optioneel | Nee |
Er MOET een policyIdentifier worden verstrekt die het beleid identificeert waaronder de CA werkt en deze MAG NIET anyPolicy zijn. |
| CRL Distribution Points (CRL-distributiepunten) | Vereist | Nee |
Er moet minstens één openbaar toegankelijke HTTP |
| (opmerking) |
Intrekkingsservers moeten worden uitgevoerd volgens de volgende gedeelten van de CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (Basisvereisten voor het certificeringsbeleid van CA-/browserforum voor het uitgeven en beheren van openbaar vertrouwde certificaten) versie 1.3.2 of hoger:
|
||
| Andere extensies | Optioneel | Nee |
Mogen aanwezig zijn. |
Eindgebruikerscertificaat
| Veld | Waarde | ||
|---|---|---|---|
| Version (Versie) | Version 3 (Versie 3). | ||
| Serienummer |
Moet groter zijn dan nul (0) en moet minstens 64 onvoorspelbare bits bevatten. Opmerking: Wordt geüpdatet om te voldoen aan de vereisten voor het serienummer van eindentiteiten van het CA/Browser Forum Baseline Requirements Certificate Policy. |
||
| Signature Algorithm (Algoritme handtekening) | RSA met SHA‐256, SHA‐384 of SHA‐512. Of ECDSA met SHA‐256, SHA‐384 of SHA‐512. | ||
| Issuer DN (DN uitgever) |
Moet byte voor byte identiek zijn aan de Subject DN van de uitgevende CA. |
||
| Validity Period (Geldigheidsperiode) |
Het verschil tussen notBefore en notAfter mag niet meer dan 27 maanden zijn. Het tijdstip in notBefore moet de ondertekeningstijd zijn, plus of min 48 uur. |
||
| Subject DN (DN onderwerp) |
Alle Subject Relative Distinguished Names (DN-namen relatief aan onderwerp) anders dan een e-mailadres moeten streng worden gevalideerd voordat deze worden uitgegeven, volgens een openbaar gedocumenteerde en gecontroleerde procedure. Ga naar Artikel 3.2.3 'Authentication of Individual Identity' (Verificatie van individuele identiteit) van het CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (Certificaatbeleid voor basisvereisten van CA/Browser Forum voor de uitgifte en het beheer van openbaar vertrouwde certificaten), versie 1.3.2 of hoger voor een acceptabele procedure. Eventuele e-mailadressen (bijvoorbeeld in het veld commonName of emailAddress) moeten ook aanwezig zijn in de extensie Subject Alternate Name (Alternatieve naam onderwerp) als rfc822Name. |
||
| Ontvanger Public Key Info |
rsaEncryption met een RSA-modulus van 2048, 3072 of 4096. Of ecPublicKey met secp256r1 of secp384r1 |
||
| Extensie | Aanwezigheid | Kritiek | Waarde |
| Key Usage (RSA) (Sleutelgebruik) | Vereist | Ja |
Bitposities moeten worden ingesteld voor: Er mogen geen andere bitposities worden ingesteld. |
| Key Usage (ECDH) (Sleutelgebruik) | Vereist |
Bitposities moeten zijn ingesteld voor: Er mogen geen andere bitposities worden ingesteld. |
|
| Extended Key Usage (Uitgebreid sleutelgebruik) | Vereist | Mogelijk |
Moet aanwezig zijn: |
|
Basic Constraints (Algemene beperkingen) |
Optioneel | Mogelijk |
Als het veld cA aanwezig is, mag het niet worden ingesteld op waar |
| Certificate Policies (Certificaatbeleid) | Vereist | Nee |
Moet aanwezig zijn: Er moet een policyIdentifier worden verstrekt die het beleid identificeert waaronder het certificaat is uitgegeven en mag niet anyPolicy zijn. Kan aanwezig zijn: cps. Als deze aanwezig is, moet deze een geldige HTTP- of HTTPS-link bevatten naar de CPS waaronder het certificaat is uitgegeven. |
|
Authority Information Access (Toegang tot autoriteitsgegevens) |
Optioneel | Nee |
caIssuers en, indien aanwezig, ocsp moeten minstens één openbaar toegankelijke HTTP uniformResourceIdentifier bevatten. AccessDescription mag geen labels of parameters bevatten die specifiek zijn voor een individueel certificaat. |
| CRL Distribution Points (CRL-distributiepunten) | Vereist | Nee |
Er moet minstens één openbaar toegankelijke |
|
(opmerking) |
Intrekkingsservers moeten werken in overeenstemming met de volgende gedeelten van het CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates, versie 1.3.2 of hoger:
|
||
|
Subject Alternative Name (Alternatieve naam onderwerp) |
Vereist | Nee |
Moet minstens 1 item van het type rfc822Name bevatten. |
|
Andere extensies |
Optioneel | Nee | Mogen aanwezig zijn. |