Quelle est la différence entre les extensions x.509 V3 Basic Restraints et Key Usage pour créer un certificat CA?

Ces deux actions semblent faire la même:

  • à l'aide de la Contraintes de Base extension X. 509 Certificate pour signifier qu'il s'agit d'un certificat d'autorité de certification et
  • à l'aide de la Utilisation de la Clé extension par exemple, pour indiquer que la clé publique peut être utilisé pour le certificat signining.

Quelle est la différence entre ces extensions?
Ils servent le même but ou se complètent les unes les autres?

source d'informationauteur Cratylus | 2011-04-26

  1. 14

    "Utilisation de la clé" définit ce qui peut être fait avec la clé contenue dans le certificat. Des exemples d'utilisation sont les suivantes: chiffrement, signature, certificats de signature, la signature des listes de révocation de certificats.

    "Contraintes de base" permet de savoir si l'objet de certificats est CA qui est autorisé à délivrer les certificats enfants.

    Pour un certificat qui peut être utilisée pour signer les certificats, l'info est dans un certain sens, dupliqué:

    • X509v3 Contraintes de Base: CA: TRUE --- Peut signer les certificats
    • X509v3 Utilisation de la Clé: Clé Cert Signe --- Peut signer les certificats

    Mais "des Contraintes de Base" sera également spécifier la profondeur maximale de validité de la certification de la chaîne.

    Si elle est dupliqué, vous devez spécifier à la fois, selon RFC 3280 --- X. 509.
    C'est le paragraphe correspondant de la RFC (page 29):

    La keyCertSign bits est affirmée lorsque le sujet de la clé publique est
    utilisé pour la vérification d'une signature sur les certificats de clé publique. Si l'
    keyCertSign bit est activé, alors la cA peu dans la base
    extension des contraintes (section 4.2.1.10) DOIT également être déclaré.

  2. 1

    Décrit l'Utilisation de la clé de certificat.

    Extension des Contraintes de base décrit la profondeur de la chaîne de certificat qui a le certificat de haut peut être. En d'autres termes, cette extension est utilisée par CAs afin de restreindre l'activité de leurs sous-CAs lorsque le sous-certificat d'autorité de certification est délivrée. Si toplevel CA devient un sous-CA , il permet de sous-autorité de certification pour émettre des certificats d'utilisateur final, mais n'autorise pas les sous-CA avoir son propre sous-CAs.