Profili dei certificati S/MIME

RSA con SHA‐256, SHA‐384 o SHA‐512. Oppure ECDSA con SHA‐256, SHA‐384 o SHA‐512.

Deve essere identico byte per byte al DN soggetto della CA emittente.

Differenza tra notBefore e notAfter

Non dovrebbe essere superiore a 10 anni e non deve essere superiore a 20 anni.

Deve indicare l'utilizzo della CA.

rsaEncryption con un modulo RSA da 2048, 3072 o 4096. Oppure ecPublicKey con secp256r1 o secp384r1

Devono essere impostate le posizioni dei bit per:
keyCertSign
Si possono impostare le posizioni dei bit per:
cRLSign
digitalSignature
Se utilizzato direttamente per firmare le risposte OCSP, deve essere presente:
digitalSignature

Non devono essere impostate altre posizioni dei bit.

Limitazioni di base

Il campo cA deve essere impostato su true
Il campo pathLenConstraint DOVREBBE essere presente e DOVREBBE essere 0

DOVREBBE essere fornito un valore policyIdentifier che identifichi le norme cui è soggetta la CA e tale valore NON DOVREBBE essere anyPolicy.
cps, se presente, deve contenere un link HTTP o HTTPS valido.

Deve essere presente almeno un uniformResourceIdentifier
HTTP accessibile pubblicamente.

I server di revoca devono essere utilizzati secondo quanto riportato nelle seguenti sezioni del documento sulle norme base per l'emissione e la gestione di certificati attendibili "Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates" 1.3.2 o versioni successive, rilasciato dal CA/Browser Forum:

• 4.9.7. Frequenza di emissione CRL
• 4.9.9. On‐line Revocation/Status Checking Availability (Disponibilità del controllo dello stato/revoca online)
• 4.9.10. On‐line Revocation Checking Requirements (Requisiti del controllo della revoca online)
• 4.10.2. Service Availability (Disponibilità del servizio)

Possono essere presenti.

Deve essere maggiore di zero (0) e deve contenere almeno 64 bit non prevedibili.

Nota:sarà aggiornato in modo da rispondere ai requisiti di entropia del numero di serie dell'entità di fine descritti nel documento "Baseline Requirements Certificate Policy" del CA/Browser Forum.

Deve essere identico byte per byte al DN soggetto della CA emittente.

La differenza tra notBefore e notAfter non deve essere superiore a 27 mesi.

Il valore di notBefore deve rappresentare il momento della firma più o meno 48 ore.

Tutti i DN relativi al soggetto diversi da un indirizzo email devono essere rigorosamente convalidati prima dell'emissione, mediante una procedura documentata e controllata pubblicamente. Per una procedura accettabile, consulta il paragrafo 3.2.3 "Authentication of Individual Identity" (Autenticazione dell'identità individuale) del documento "Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates" 1.3.2 o versioni successive rilasciato dal CA/Browser Forum.

Qualsiasi indirizzo email (ad esempio nei campi commonName o emailAddress) deve anche essere presente nell'estensione del nome soggetto alternativo come un nome rfc822Name.

rsaEncryption con un modulo RSA da 2048, 3072 o 4096. Oppure ecPublicKey con secp256r1 o secp384r1

Devono essere impostate le posizioni dei bit per:
digitalSignature
e/o
nonRepudiation/contentCommitment
Si possono impostare le posizioni dei bit per:
dataEncipherment
keyEncipherment

Non devono essere impostate altre posizioni dei bit.

Devono essere impostate le posizioni dei bit per:
digitalSignature
Si possono impostare le posizioni dei bit per:
nonRepudiation/contentCommitment
keyAgreement
encipherOnly (se è impostato keyAgreement)
decipherOnly (se è impostato keyAgreement)

Non devono essere impostate altre posizioni dei bit.

Deve essere presente:
emailProtection
Non devono essere presenti:
serverAuth
codeSigning
timeStamping
anyExtendedKeyUsage

Limitazioni di base

Se presente, il campo cA non deve essere impostato su true
Il campo pathLenConstraint non deve essere presente

Deve essere presente: deve essere fornito un valore policyIdentifier che identifichi le norme in base alle quali è stato emesso il certificato e non deve essere anyPolicy.

Può essere presente: cps, se presente, deve contenere un link HTTP o HTTPS valido al CPS nell'ambito del quale è stato emesso il certificato.

Accesso alle informazioni sull'autorità

caIssuers e, se presente, ocsp, devono contenere almeno un uniformResourceIdentifier HTTP accessibile pubblicamente.

AccessDescription non deve contenere nessuna etichetta o parametro specifici per un singolo certificato.

Deve essere presente almeno un uniformResourceIdentifier
HTTP accessibile pubblicamente

(nota)

I server di revoca devono funzionare secondo quanto riportato nelle seguenti sezioni del documento sulle norme base per l'emissione e la gestione di certificati attendibili "Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates" 1.3.2 o versioni successive, rilasciato dal CA/Browser Forum:

• 4.9.7. Frequenza di emissione CRL
• 4.9.9. On‐line Revocation/Status Checking Availability (Disponibilità del controllo dello stato/revoca online)
• 4.9.10. On‐line Revocation Checking Requirements (Requisiti del controllo della revoca online)
• 4.10.2. Service Availability (Disponibilità del servizio)

Nome alternativo soggetto

Deve contenere almeno un elemento di tipo rfc822Name.
Non deve contenere elementi di tipo:
dNSName
iPAddress
uniformResourceIdentifier
Ogni rfc822Name deve essere verificato con misure documentate e sottoposte a revisione pubblicamente per garantire che l'entità che invia la richiesta controlli l'account email associato all'indirizzo email o sia stata autorizzata dal titolare dell'account email ad agire per suo conto.

Eventuali altre estensioni