DLMS/COSEM中的信息安全：安全密钥（中）续2

2.4.4证书扩展

2.4.4.1 综述

    为X.509 v3证书定义的扩展提供了将附加属性与用户或公钥进行连接以及管理CA之间的关系的方法。证书中的每个扩展名都指定为关键（TRUE）或非关键（FALSE）。

    扩展字段应根据所使用的证书类型完成，如表18所示。

2.4.4.2 权限密钥标识符

     ——扩展ID（OID）：2.5.29.35；

    ——关键：FALSE；

    ——描述：AuthorityKeyIdentifier扩展提供了一种识别与用于签署证书的私钥对应的公钥的方法；

    ——值：AuthorityKeyIdentifier字段。

    keyIdentifier字段的值需要计算：

    ——使用RFC5280:2008,4.2.1.2定义的方法1，即KeyIdentifier由BIT STRING SubjectPublicKey（不包括标签、长度和未使用位数）的160位SHA-1散列组成；

    ——使用RFC5280:2008,4.2.1.2中定义的方法2，即keyIdentifier由四位类型字段组成，值为0100，后跟BIT STRING subjectPublicKey（不包括标签、长度和未使用位数）的SHA-1哈希值的最低有效60位。

2.4.4.3 SubjectKeyIdentifier

    ——扩展ID ：2.5.29.14；

    ——关键：FALSE；

    ——描述：SubjectKeyIdentifier扩展提供识别包括特定公钥的证书的方法；

    ——值：SubjectKeyIdentifier扩展应包括keyIdentifier字段。

2.4.4.4 KeyUsage

    ——扩展ID（OID）：2.5.29.15；

    ——关键：TRUE；

    ——描述：KeyUsage扩展名定义了包含密钥的证书的用途；

    ——值：要设置的位如表19所示。

2.4.4.5 CertificatePolicies

    ——扩展ID（OID）：2.5.29.32；

    ——关键：FALSE；

    ——描述：证书策略扩展包含一个或多个策略信息项的序列，每个策略信息项由对象标识符（OID）和可选限定符组成；

    ——值：包含适用的证书策略的OID。

2.4.4.6 SubjectAltNames

    ——扩展ID（OID）：2.5.29.17；

    ——关键：TRUE如果证书的“subject”字段为空（空的序列），则为FALSE。

    ——描述：此扩展允许将身份绑定到证书的主题。这些身份可以包括在证书的主题字段中的身份或代替身份的身份。如果主题名称是空的序列，那么subjectAltName扩展将被添加到最终实体签名和密钥建立证书中，并将其标记为关键。subjectAltName扩展名是可选的，如果包含，则应标记为关键。

    ——值：见表20。

2.4.4.7 IssuerAltName

    ——扩展ID（OID）：2.5.29.18；

    ——关键：FALSE；

    ——描述：该扩展用于将Internet风格表示与证书颁发者相连接；

    ——值：见表21。

2.4.4.8 基本限制

    ——扩展ID（OID）：2.5.29.19；

    ——关键：TRUE；

    ——描述：基本约束扩展标识证书是否为CA，还包括包含此证书的有效认证路径的最大深度；

    ——值：见表22。

2.4.4.9 Extended Key Usage

    ——扩展ID（OID）：2.5.29.37；

    ——关键：FALSE；

    ——描述：表示可以将证书用作TLS服务器证书；

            TLS服务器认证OID：1.3.6.1.5.5.7.3.1；

            TLS客户机认证OID：1.3.6.1.5.5.7.3.2； 

2.4.4.10 cRLDistributionPoints

    ——扩展ID（OID）：2.5.29.31；

    ——关键：FALSE；

    ——描述：CRL分发点扩展表示如何或得CRL信息；

    ——该扩展不在DLMS/COSEM服务器证书中使用。

2.4.4.11其他扩展

    此配置文件中未描述的所有其他扩展应视为OPTIONAL；它们的包含或排除及其值将取决于具体应用或PKI配置。