组织：中国互动出版网（http://www.china-pub.com/）<br />
RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm）<br />
E-mail：ouyang@china-pub.com<br />
译者：黄建文（kenvin9&nbsp;&nbsp;&nbsp;kenvin@21cn.com）<br />
译文发布时间：2001-3-26<br />
版权：本翻译文档可以用于非商业用途自由转载，但必须保留本文档的翻译及组织信息。<br />
<br />
<br />
<br />
<br />
Network&nbsp;Working&nbsp;Group&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;R.&nbsp;Housley<br />
Request&nbsp;for&nbsp;Comments:&nbsp;2585&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SPYRUS&nbsp;<br />
Category:&nbsp;Standards&nbsp;Track&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;P.&nbsp;Hoffman&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;IMC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;May&nbsp;1999<br />
<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;互联网X.509公用密钥机制操作协议:FTP和HTTP<br />
<br />
本备忘录的状态<br />
本文档讲述了一种Internet社区的Internet标准跟踪协议，它需要进一步进行讨论和建议以得到改进。请参考最新版的“Internet正式协议标准”&nbsp;(STD1)来获得本协议的标准化程度和状态。本备忘录的发布不受任何限制。<br />
版权声明<br />
Copyright&nbsp;(C)&nbsp;The&nbsp;Internet&nbsp;Society&nbsp;(1999).&nbsp;&nbsp;All&nbsp;Rights&nbsp;Reserved.<br />
<br />
摘要<br />
本文档中描述的协议约定满足Internet公用密钥机制(PKI)中的许多可操作的需求.本文档同时讲述了一些使用文件传输协议(FTP)和超文本传输协议(HTTP)来从PKI仓库中获取证书和证书撤消列表(CRL)的协定.&nbsp;附加的描述访问PKI仓库的机制在另外的文档中有详细说明.<br />
<br />
目录<br />
1&nbsp;介绍	1<br />
1.1&nbsp;模型	2<br />
1.2&nbsp;证书和CRL仓库	3<br />
2&nbsp;FTP约定	3<br />
3&nbsp;HTTP约定	3<br />
4&nbsp;MIME登记	4<br />
4.1&nbsp;申请/PKIX-CERT	4<br />
4.2&nbsp;申请/PKIX-CRL	5<br />
参考资料	5<br />
安全方面的考虑	5<br />
作者的地址	6<br />
版权说明	6<br />
致谢	7<br />
<br />
<br />
1&nbsp;介绍<br />
本说明是使用X.509证书和证书撤消列表(CRL)的Internet公用密钥机制(PKI)多个标准的一部分.&nbsp;本文档同时讲述了一些使用文件传输协议(FTP)和超文本传输协议(HTTP)来从PKI仓库中获取证书和证书撤消列表(CRL)的协定.&nbsp;附加的描述访问PKI仓库的机制在另外的文档中有详细说明.<br />
1.1&nbsp;模型<br />
下面是由Internet&nbsp;PKI规范中假定的结构模型的简单视图.<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+---+<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;C&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------------+<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;e&nbsp;|&nbsp;&lt;--------------------&gt;|&nbsp;&nbsp;终端实体&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;r&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;操作事务和&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------------+<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;t&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;管理事务&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;^<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;/&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;管理事务<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PKI&nbsp;用户<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;C&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;R&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;-------------------+--+-----------+-----------------<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;L&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;^&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;^<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;PKI&nbsp;管理实体<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;R&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;e&nbsp;|&nbsp;&lt;---------------------|&nbsp;RA&nbsp;&nbsp;&nbsp;|&nbsp;&lt;---+&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;p&nbsp;|&nbsp;&nbsp;发布证书&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;o&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;s&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;I&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v&nbsp;&nbsp;&nbsp;&nbsp;v<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;t&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------------+<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;o&nbsp;|&nbsp;&lt;------------------------------|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;r&nbsp;|&nbsp;&nbsp;&nbsp;发布证书&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------------+<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;y&nbsp;|&nbsp;&nbsp;&nbsp;发布CRL&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;^<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+---+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;管理事务&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------+<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;|&nbsp;&nbsp;CA&nbsp;&nbsp;|<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;+------+<br />
这个模型中由以下几部分组成:<br />
终端实体:PKI证书用户及/或者作为证书主题的最终用户系统.<br />
CA.授权机构<br />
RA:登记机构.例如,CA可以把某些管理功能委托给一个可选系统.<br />
仓库:一个保存证书和CRL的系统或分布系统的集合,它是一种分发证书和CRL到终端用户的方法.<br />
1.2&nbsp;证书和CRL仓库<br />
许多CA要求使用在线的校验服务,而其他分布式的CRL允许证书用户自己去实施证书的校验。通常，CA通过把CRL发布到目录中，使得证书用户就可以使用了。目录也是一种正规的证书分配机制.然而。目前，Internet的许多方面还没有提供目录服务。&nbsp;RFC959中定义的文件传输协议(FTP)和RFC2068中定义的超文本传输协议(HTTP)提供了分配证书和CRL的可选方法。<br />
<br />
终端实体和认证机构都可以使用FTP或HTTP协议从证书仓库中检索证书和CRL.终端实体可以使用FTP或HTTP来把他们自己的证书发布到仓库中,而登记机构与认证机构也可以使用FTP或HTTP把证书和CRL发布到仓库中.<br />
<br />
2&nbsp;FTP约定<br />
在证书扩展和CRL扩展中,全名(GeneralName)的统一资源标识(URI)形式是用来指明证书发起者和可以得到CRL的位置。比如,一个指定证书标题的URI应该用subjectAltName证书扩展名来传输。一个IA5String描述了如何用匿名FTP方式去获取证书和CRL的有关信息.例如:<br />
ftp://ftp.netcom.com/sp/spyrus/housley.cer<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ftp://ftp.your.org/pki/id48.cer<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ftp://ftp.your.org/pki/id48.no42.crl<br />
<br />
Internet用户可以在他的商业名片上发布一个指向包含他的证书文件的URI引用。这种方法，在该用户没有目录服务人口时非常有效。FTP已被广泛使用，另外匿名FTP也已经被许多防火墙所接受。因此,FTP是通过目录存取协议来进行证书和CRL分配的一种极具吸引力的可选方法.&nbsp;尽管这种服务能够满足检索已通过URI指定的证书的相关信息的要求,但是它却无法解决在知道一个用户的其他信息,如电子邮件地址或公司的联系地址等的情况下,查找该用户证书这样更为通用的问题.<br />
<br />
为了方便起见,包含证书的文件应该有一个后缀:.cer.每一个"cer"文件实际上包含了一个以DER格式编码的证书。同样,包含CRL的文件应该有一个后缀:.crl.&nbsp;每一个"crl"文件实际上包含了一个以DER格式编码的CRL.<br />
<br />
3&nbsp;HTTP约定<br />
在证书扩展和CRL扩展中,全名(GeneralName)的统一资源标识(URI)形式是用来指明证书发起者和可以得到CRL的位置。比如,一个指定证书标题的URI应该用subjectAltName证书扩展名来传输。一个IA5String描述了如何用匿名HTTP方式去获取证书和CRL的有关信息.例如:<br />
http://www.netcom.com/sp/spyrus/housley.cer<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.your.org/pki/id48.cer<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.your.org/pki/id48.no42.crl<br />
Internet用户可以在他的商业名片上发布一个指向包含他的证书文件的URI引用。这种方法，在该用户没有目录服务人口时非常有效。HTTP已被广泛使用，另外HTTP也已经被许多防火墙所接受。因此,FTP是通过目录存取协议来进行证书和CRL分配的一种极具吸引力的可选方法.&nbsp;尽管这种服务能够满足检索已通过URI指定的证书的相关信息的要求,但是它却无法解决在知道一个用户的其他信息,如电子邮件地址或公司的联系地址等的情况下,查找该用户证书这样更为通用的问题.<br />
<br />
为了方便起见,包含证书的文件应该有一个后缀:.cer.每一个"cer"文件实际上包含了一个以DER格式编码的证书。同样,包含CRL的文件应该有一个后缀:.crl.&nbsp;每一个"crl"文件实际上包含了一个以DER格式编码的CRL.<br />
<br />
4&nbsp;MIME登记<br />
为支持证书和CRL的传输,定义了两种MIME（多用途的网际邮件扩充协议）类型:&nbsp;application/pkix-cert及application/pkix-crl<br />
<br />
4.1&nbsp;申请/pkix-cert<br />
To:&nbsp;ietf-types@iana.org<br />
Subject:&nbsp;Registration&nbsp;of&nbsp;MIME&nbsp;media&nbsp;type&nbsp;application/pkix-cert&nbsp;&nbsp;&nbsp;<br />
MIME媒介类型名称:&nbsp;申请<br />
MIME&nbsp;子类型名称:&nbsp;pkix-cert<br />
需要的参数:&nbsp;无<br />
可选参数:&nbsp;版本&nbsp;(缺省为&nbsp;"1")<br />
&nbsp;&nbsp;&nbsp;邮件编码:不应该是8位传输,应该是7位传输或SMTP中的Base64码&nbsp;&nbsp;&nbsp;<br />
&nbsp;&nbsp;&nbsp;安全性方面的考虑:带有加密的证书<br />
&nbsp;&nbsp;&nbsp;互用性方面的考虑:无<br />
&nbsp;&nbsp;&nbsp;发布规范:draft-ietf-pkix-ipki-part1<br />
&nbsp;&nbsp;&nbsp;申请将会使用的媒介类型:所有兼容MIME的传输<br />
&nbsp;&nbsp;&nbsp;附加信息:<br />
&nbsp;&nbsp;&nbsp;魔数:无<br />
&nbsp;&nbsp;&nbsp;文件的扩展名:&nbsp;.CER<br />
&nbsp;&nbsp;&nbsp;Macintosh中的文件类型码:无<br />
<br />
&nbsp;如果需要更多的信息，请与以下E-MAIL联系:<br />
&nbsp;&nbsp;&nbsp;Russ&nbsp;Housley&nbsp;&lt;housley@spyrus.com&gt;<br />
&nbsp;&nbsp;&nbsp;Intended&nbsp;usage:&nbsp;COMMON<br />
&nbsp;&nbsp;&nbsp;作者/变动&nbsp;控制:<br />
&nbsp;&nbsp;&nbsp;Russ&nbsp;Housley&nbsp;&lt;housley@spyrus.com&gt;<br />
<br />
4.2&nbsp;申请/pkix-crl<br />
&nbsp;&nbsp;&nbsp;To:&nbsp;ietf-types@iana.org<br />
&nbsp;&nbsp;&nbsp;Subject:&nbsp;Registration&nbsp;of&nbsp;MIME&nbsp;media&nbsp;type&nbsp;application/pkix-crl<br />
&nbsp;&nbsp;&nbsp;MIME媒介类型名称:&nbsp;应用<br />
&nbsp;&nbsp;&nbsp;MIME&nbsp;子类型名称:&nbsp;pkix-crl<br />
&nbsp;&nbsp;&nbsp;需要的参数:&nbsp;无<br />
&nbsp;&nbsp;&nbsp;可选参数:&nbsp;版本&nbsp;(缺省为&nbsp;"1")<br />
&nbsp;&nbsp;&nbsp;邮件编码:不应该是8位传输,应该是7位传输或SMTP中的Base64&nbsp;&nbsp;&nbsp;<br />
&nbsp;&nbsp;&nbsp;安全性方面的考虑:带有加密的证书撤消列表<br />
&nbsp;&nbsp;&nbsp;协同性方面的考虑:无<br />
&nbsp;&nbsp;&nbsp;发布规范:draft-ietf-pkix-ipki-part1<br />
&nbsp;&nbsp;&nbsp;申请将会使用的媒介类型:所有兼容MIME的传输<br />
&nbsp;&nbsp;&nbsp;附加信息:<br />
&nbsp;&nbsp;&nbsp;&nbsp;魔数:无<br />
&nbsp;&nbsp;&nbsp;&nbsp;文件的扩展名:&nbsp;.CRL<br />
&nbsp;&nbsp;&nbsp;&nbsp;Macintosh中的文件类型码:无<br />
<br />
&nbsp;&nbsp;&nbsp;如果需要更多的信息，请与以下E-MAIL联系::<br />
&nbsp;&nbsp;&nbsp;Russ&nbsp;Housley&nbsp;&lt;housley@spyrus.com&gt;<br />
&nbsp;&nbsp;&nbsp;Intended&nbsp;usage:&nbsp;COMMON<br />
&nbsp;&nbsp;&nbsp;作者/变动&nbsp;控制:<br />
&nbsp;&nbsp;&nbsp;Russ&nbsp;Housley&nbsp;&lt;housley@spyrus.com&gt;<br />
参考资料<br />
[RFC959]&nbsp;Postel,&nbsp;J.&nbsp;and&nbsp;J.&nbsp;Reynolds,&nbsp;"文件传输协议(FTP)"<br />
STD&nbsp;5,&nbsp;RFC&nbsp;959,&nbsp;October&nbsp;1985<br />
&nbsp;&nbsp;&nbsp;&nbsp;[RFC1738]&nbsp;Berners-Lee,&nbsp;T.,&nbsp;Masinter,&nbsp;L.&nbsp;and&nbsp;M.&nbsp;McCahill,"通用资源定位(URL)"&nbsp;RFC&nbsp;1738,&nbsp;December&nbsp;1994.<br />
[RFC&nbsp;2068]&nbsp;&nbsp;Fielding,&nbsp;R.,&nbsp;Gettys,&nbsp;J.,&nbsp;Mogul,&nbsp;J.,&nbsp;Frystyk,&nbsp;H.&nbsp;and<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;T.&nbsp;Berners-Lee;&nbsp;"超文本传输协议&nbsp;--&nbsp;HTTP/1.1",<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RFC&nbsp;2068,&nbsp;January&nbsp;1997.<br />
安全方面的考虑<br />
因为证书和CRL是数字签名的,因此并不需要附加的完整性服务.证书和CRL都不需要秘密地保存,对证书和CRL的匿名访问通常也是可以被接受的.因此,并不需要秘密的服务.<br />
在Internet上,HTTP缓存代理是很普遍的,许多代理并不检查一个对象的最新版本的正确性.如果一个证书或CRL的HTTP请求通过了一个配置不当或忽然中断的代理,该代理可能会返回一个已超期的响应.<br />
FTP和WWW服务器的操作者应该对发布证书的终端实体及那些发布证书和CRL的CA与RA进行认证。然而，并不需要对检索证书和CRL进行鉴定认证。<br />
作者的地址<br />
Russell&nbsp;Housley<br />
&nbsp;&nbsp;SPYRUS&nbsp;381&nbsp;Elden&nbsp;Street,&nbsp;Suite&nbsp;1120&nbsp;&nbsp;Herndon,&nbsp;VA&nbsp;20170&nbsp;USA<br />
EMail:&nbsp;housley@spyrus.com<br />
<br />
&nbsp;&nbsp;Paul&nbsp;Hoffman<br />
&nbsp;&nbsp;Internet&nbsp;Mail&nbsp;Consortium&nbsp;127&nbsp;Segre&nbsp;Place<br />
&nbsp;&nbsp;Santa&nbsp;Cruz,&nbsp;CA&nbsp;95060&nbsp;USA<br />
EMail:&nbsp;phoffman@imc.org<br />
<br />
版权说明<br />
<br />
&nbsp;&nbsp;&nbsp;Copyright&nbsp;(C)&nbsp;The&nbsp;Internet&nbsp;Society&nbsp;(1999).&nbsp;&nbsp;All&nbsp;Rights&nbsp;Reserved.<br />
<br />
&nbsp;&nbsp;&nbsp;This&nbsp;document&nbsp;and&nbsp;translations&nbsp;of&nbsp;it&nbsp;may&nbsp;be&nbsp;copied&nbsp;and&nbsp;furnished&nbsp;to&nbsp;others,&nbsp;and&nbsp;derivative&nbsp;works&nbsp;that&nbsp;comment&nbsp;on&nbsp;or&nbsp;otherwise&nbsp;explain&nbsp;it&nbsp;or&nbsp;assist&nbsp;in&nbsp;its&nbsp;implementation&nbsp;may&nbsp;be&nbsp;prepared,&nbsp;copied,&nbsp;published&nbsp;and&nbsp;distributed,&nbsp;in&nbsp;whole&nbsp;or&nbsp;in&nbsp;part,&nbsp;without&nbsp;restriction&nbsp;of&nbsp;any&nbsp;kind,&nbsp;provided&nbsp;that&nbsp;the&nbsp;above&nbsp;copyright&nbsp;notice&nbsp;and&nbsp;this&nbsp;paragraph&nbsp;are&nbsp;included&nbsp;on&nbsp;all&nbsp;such&nbsp;copies&nbsp;and&nbsp;derivative&nbsp;works.&nbsp;&nbsp;However,&nbsp;this&nbsp;document&nbsp;itself&nbsp;may&nbsp;not&nbsp;be&nbsp;modified&nbsp;in&nbsp;any&nbsp;way,&nbsp;such&nbsp;as&nbsp;by&nbsp;removing&nbsp;the&nbsp;copyright&nbsp;notice&nbsp;or&nbsp;references&nbsp;to&nbsp;the&nbsp;Internet&nbsp;Society&nbsp;or&nbsp;other&nbsp;Internet&nbsp;organizations,&nbsp;except&nbsp;as&nbsp;needed&nbsp;for&nbsp;the&nbsp;purpose&nbsp;of&nbsp;developing&nbsp;Internet&nbsp;standards&nbsp;in&nbsp;which&nbsp;case&nbsp;the&nbsp;procedures&nbsp;for&nbsp;copyrights&nbsp;defined&nbsp;in&nbsp;the&nbsp;Internet&nbsp;Standards&nbsp;process&nbsp;must&nbsp;be&nbsp;followed,&nbsp;or&nbsp;as&nbsp;required&nbsp;to&nbsp;translate&nbsp;it&nbsp;into&nbsp;languages&nbsp;other&nbsp;than&nbsp;&nbsp;&nbsp;English.<br />
<br />
&nbsp;&nbsp;&nbsp;The&nbsp;limited&nbsp;permissions&nbsp;granted&nbsp;above&nbsp;are&nbsp;perpetual&nbsp;and&nbsp;will&nbsp;not&nbsp;be&nbsp;revoked&nbsp;by&nbsp;the&nbsp;Internet&nbsp;Society&nbsp;or&nbsp;its&nbsp;successors&nbsp;or&nbsp;assigns.<br />
<br />
&nbsp;&nbsp;&nbsp;This&nbsp;document&nbsp;and&nbsp;the&nbsp;information&nbsp;contained&nbsp;herein&nbsp;is&nbsp;provided&nbsp;on&nbsp;an&nbsp;"AS&nbsp;IS"&nbsp;basis&nbsp;and&nbsp;THE&nbsp;INTERNET&nbsp;SOCIETY&nbsp;AND&nbsp;THE&nbsp;INTERNET&nbsp;ENGINEERING&nbsp;TASK&nbsp;FORCE&nbsp;DISCLAIMS&nbsp;ALL&nbsp;WARRANTIES,&nbsp;EXPRESS&nbsp;OR&nbsp;IMPLIED,&nbsp;INCLUDING&nbsp;BUT&nbsp;NOT&nbsp;LIMITED&nbsp;TO&nbsp;ANY&nbsp;WARRANTY&nbsp;THAT&nbsp;THE&nbsp;USE&nbsp;OF&nbsp;THE&nbsp;INFORMATION&nbsp;&nbsp;&nbsp;HEREIN&nbsp;WILL&nbsp;NOT&nbsp;INFRINGE&nbsp;ANY&nbsp;RIGHTS&nbsp;OR&nbsp;ANY&nbsp;IMPLIED&nbsp;WARRANTIES&nbsp;OF&nbsp;&nbsp;&nbsp;MERCHANTABILITY&nbsp;OR&nbsp;FITNESS&nbsp;FOR&nbsp;A&nbsp;PARTICULAR&nbsp;PURPOSE.<br />
<br />
致谢<br />
感谢Internet协会给予RFC编辑部门的资金。<br />
<br />
<br />
RFC2585&nbsp;&nbsp;&nbsp;Internet&nbsp;RFC/STD/FYI/BCP&nbsp;Archives&nbsp;<br />
互联网X.509公用密钥机制操作协议:FTP和HTTP<br />
<br />
<br />
<br />
<br />
1<br />
RFC文档中文翻译计划<br />
<br />