Уполномоченный удостоверяющий центр Федерального казначейства

Правила пользования единым универсальным сертификатом

Листов 24

Москва, 2010

Содержание
Термины и определения
1 Общие сведения
2 Правила заполнения полей ЕУС
3 Правила обработки полей ЕУС
3.1 Правила обработки атрибутов владельца сертификата
3.2 Правила проверки ЕУС
3.2.1 Проверка доверия к выпускающему УЦ
3.2.2 Проверка ЭЦП уполномоченного лица УЦ в сертификате
3.2.3 Проверка срока действия сертификата
3.2.4 Проверка соответствия значений KeyUsage использованию ключевой пары сертификата
3.2.5 Проверка соответствия значений Extended Key Usage использованию ключевой пары сертификата
3.2.6 Проверка соответствия значений Certificate Policies области использования сертификата ключа подписи
3.2.7 Проверка статуса отзыва сертификата ключа подписи
3.2.8 Проверка корректности атрибутов владельца сертификата ключа подписи
4 Порядок внесения изменений
Приложение А
Приложение Б
Приложение В
Приложение Г

Термины и определения

Владелец сертификата ключа подписи 
	-	Физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы).	
Закрытый ключ электронной цифровой подписи
	-	Уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи.	
Оператор Удостоверяющего центра
	-	Физическое лицо, являющееся сотрудником удостоверяющего центра и наделенное полномочиями по заверению от имени удостоверяющего центра сертификатов открытых ключей.	
Открытый ключ электронной цифровой подписи
	-	Уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.	
Отозванный сертификат ключа подписи
	-	Аннулированный сертификат ключа подписи до истечения срока действия или сертификат ключа подписи, действие которого приостановлено.	
Пользователь удостоверяющего центра
	-	Физическое лицо, использующее сертифицированный в удостоверяющем центре ключ для подписи электронных документов или сертификаты ключей подписей для проверки подписанных электронных документов.	
Сертификат ключа подписи
	-	Документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.	
СОС
(Список отозванных сертификатов)	-	Электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, включающий в себя список серийных номеров сертификатов, которые на определенный момент времени были отозваны.	
УЦ
(Удостоверяющий центр)
	-	Комплекс технических средств и организационно-технических мероприятий, предназначенный для обеспечения выполнения целевых функций УЦ, определенных в Статье 9 Федерального закона от 10.01.2002 г. №1-ФЗ «Об электронной цифровой подписи».	
ЭЦП
(Электронная цифровая подпись)
	-	Реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе	
.

1  	Общие сведения
Формат единого универсального сертификата разрабатывается с целью формализации атрибутов сертификата и порядка обработки сертификата в рамках автоматизированных систем Федерального казначейства.
2  	Правила заполнения полей ЕУС 
Перечень основных полей приведен в Таб. 1. 
Таб. 1 Перечень основных полей
№ п\п	Поле	Описание	
Основная информация	
1		Version	Версия формата сертификата X.509. Устанавливается УЦ при издании сертификата равным 2 (версия 3).	
2		Serial Number	Серийный номер сертификата ключа подписи. Устанавливается УЦ при издании сертификата. Комбинация поля Issuer и Serial Number является уникальным идентификатором сертификата ключа подписи.	
3		Signature	Идентификатор алгоритма электронной цифровой подписи в соответствии с которым была осуществлена подпись настоящего сертификата уполномоченным лицом УЦ.	
4		Issuer	Уникальное имя (Distinguished name, далее – DN) выпускающего УЦ. Устанавливается УЦ при издании сертификата.	
5		Validity	Срок действия сертификата ключа подписи. Включает дату и время начала срока действия и дату и время окончания срока действия (время указывается в часовом поясе GMT+0). 	
6		Subject	DN владельца сертификата. Перечень используемых относительных уникальных имен (relative distinguished name, далее – RDN) приведен в Таб. 2.	
7		Subject Public Key Info	Алгоритм и значение открытого ключа. Устанавливается УЦ при издании сертификата.	
8		Unique Identifiers	Не должен использоваться	
9		Extensions	Расширения (детальное описание представлено в Таб. 3)	
Электронная цифровая подпись уполномоченного лица УЦ	
10		signatureAlgorithm	алгоритм ЭЦП	
11		signatureValue	значение ЭЦП	

Таб. 2 Перечень используемых относительных уникальных имен
Поле	Описание поля	Рекомендованная кодировка	Максимальная длинна значения поля	Обязательность	
SurName
	Фамилия владельца сертификата с большой буквы в одно слово без пробелов. 	UTF8String	в соответствие с RFC5280 40 символов
в соответствие с X.520 – 64 символа	Обязательно для всех систем	
GivenName
	Имя и отчество владельца сертификата в формате «Имя Отчество» в два слова разделенных одним пробелом. 	UTF8String	в соответствие с RFC5280 – 16 символов	Обязательно для всех систем	
Initials
	Инициалы владельца сертификата без пробелов. 
	UTF8String	в соответствие с RFC5280 – 5 символов	Обязательно для Landocs	
Title
	Должность владельца сертификата. 
	UTF8String.	в соответствие с RFC5280 – 64 символа.	Обязательно для всех систем	
UnstructuredName
	Наименование в свободной форме. Указывается код из справочника должностей (ведётся в ЦАФК). 	PrintableString или UTF8String.	в соответствие с PKCS#9 – 255 символов	Обязательно для АСФК	
StreetAddress
	Улица и номер дома места работы владельца сертификата. 
	UTF8String.	в соответствие с X.520 – 128 символов.	Обязательно для Landocs	
UnstructuredAddress
	Адрес места работы владельца сертификата в свободной форме. 
	UTF8String.	в соответствие с PKCS#9 – 255 символов	Не обязательно	
CommonName
	Фамилия, имя, отчество владельца сертификата в виде «Фамилия Имя Отчество» или наименование службы/сервиса/АРМ/сервера для использования которыми издан сертификат. 
	UTF8String.	в соответствие с RFC5280 – 64 символа.	Обязательно для всех систем	
OrganizationalUnit
	Организационное подразделение владельца сертификата. Допускается многократное включение данного RDN для создание иерархии подразделений, при этом следует учитывать, что подразделение более высокой иерархии должно идти перед подразделением более низкой иерархии. 
	UTF8String.	в соответствие с RFC5280 – 64 символа.	Обязательно включение организационного подразделения владельца сертификата.
Для систем АСФК, СЭД, СПТО обязательно дополнительное включение подразделения высокого уровня	
Organization
	Наименование организации владельца сертификата. В качестве наименования организации должно использоваться сокращенное наименование организации, а, в случае его отсутствия, краткое наименование организации, сформированное на основании ее полного наименования	UTF8String	в соответствие с RFC5280 – 64 символа.	Обязательно для всех систем	
Locality
	Наименование населенного пункта (город, село). 
	UTF8String.	в соответствие с RFC5280 – 128 символов.	Обязательно для всех систем	
State
	Наименование региона. Перечень допустимых значение представлен в приложении «Приложение В». 	UTF8String.	в соответствие с RFC5280 – 128 символов.	Обязательно для всех систем	
Country
	Двухбуквенный код страны в соответствие с ISO 3166. Для России указывается RU. 	PrintableString.	в соответствие с RFC5280 – 2 символа.	Обязательно для всех систем	
EMail
	Адрес электронной почты владельца сертификата. 	IA5String (или UTF8String при использовании кириллических доменов). 	в соответствие с PKCS#9 – 255 символов.
	Обязательно для всех систем	

Таб. 3. Описание Extensions
Наименование поля	Описание поля	Обязательность	
Authority Key Identifier
	Идентификатор открытого ключа выпускающего УЦ в форме keyIdentifier. Не допускается указывать authorityCertIssuer, authorityCertSerialNumber.	Обязательно для всех систем	
Subject Key Identifier	Идентификатор открытого ключа сертификата. Устанавливается УЦ при издании сертификата.	Обязательно для всех систем	
Key Usage
	Назначение использования ключей. Устанавливается в виде битовой маски. Перечень допустимых значение представлен в Таб. 4.
Для обеспечения корректного использования сертификата в системах Oracle (АСФК), СПТО, СЭД должны быть установлены следующие значения:
•	digitalSignature;
•	nonRepudiation;
•	dataEncipherment.
Для обеспечения корректного использования сертификата в системе Landocs должны быть установлены следующие значения:
•	digitalSignature;
•	nonRepudiation;
•	dataEncipherment;
•	keyEncipherment.
Для обеспечения корректного использования сертификата в системе ООС должны быть установлены следующие значения:
•	digitalSignature;
•	nonRepudiation;
•	keyAgreement;
•	keyEncipherment.
Для разрабатываемых систем должны быть использованы значения в соответствие с RFC 4491 для сертификатов ключей подписи ГОСТ Р 34.10-2001.	Обязательно для всех систем	
Certificate Policies
	Область использования сертификата ключа подписи. Устанавливается в виде списка идентификаторов. Перечень допустимых значений для использования в различных системах приведен в Приложение А.
Для обеспечения корректного использования сертификата в системах Oracle (АСФК), СПТО, СЭД, Landocs, ООС должны быть установлены следующие значения:
•	id-cp-CA-KC2.	Обязательно для всех систем	
Subject Alternative Name
	Дополнительные сведения о владельце сертификата ключа подписи. Допускается использование следующих атрибутов:
•	otherName – последовательность пар «OID»-«данные», перечень допустимых значений представлен в приложении «Приложение Г»;
•	rfc822Name – адрес электронной почты в соответствии с RFC822;
•	dNSName – DNS-имя;
•	x400Address – адрес в соответствии со стандартом X.400;
•	directoryName – данные в формате X.501 Name;
•	ediPartyName – последовательность пар «имя»-«имя»;
•	uniformResourceIdentifier – универсальный идентификатор ресурса (URI);
•	iPAddress – IP-адрес;
•	registeredID – идентификатор в виде OID.
Для обеспечения корректного использования сертификата в системе Oracle (АСФК) должны быть заполнены следующие атрибуты:
•	otherName должен содержать номер ключа при смене сертификата в качестве значения параметра OID=id-on-Keyid, при этом при каждой последующей смене ключей номер должен увеличиваться на единицу.
Для обеспечения корректного использования сертификата в системе СПТО должны быть заполнены следующие атрибуты:
•	otherName должен содержать номер ключа при смене сертификата в качестве значения параметра OID=id-on-Keyid.
Для обеспечения корректного использования сертификата в системе СЭД должны быть заполнены следующие атрибуты:
•	otherName должен содержать номер ключа при смене сертификата в качестве значения параметра OID=id-on-Keyid;
•	uniformResourceIdentifier должен содержать привилегии владельца сертификата.
Для обеспечения корректного использования сертификата в системе Landocs должны быть заполнены следующие атрибуты:
•	otherName должен содержать идентификатор пользователя в Landocs в качестве значения параметра OID=id-on-Landocsid, значение идентификатора должно быть уникально в рамках системы Landocs. Значение идентификатора получается следующим образом:
1) если у пользователя нет сертификата для Landocs идентификатор формируется в виде GUID;
2) если у пользователя есть сертификат для Landocs идентификатор копируется из существующего сертификата.
Для обеспечения корректного использования сертификата в системе ООС должны быть заполнены следующие атрибуты:
•	otherName должен содержать учетный номер организации в качестве значения параметра OID=id-on-OrganizationId;
•	otherName должен содержать ИНН организации в качестве значения параметра OID=id-on-Inn;
•	otherName должен содержать КПП организации в качестве значения параметра OID=id-on-Kpp.	Обязательно для всех систем	
Issuer Alternative Name	Дополнительные сведения об Удостоверяющем центре, издавшем сертификат. Устанавливается УЦ при издании сертификата.	Не обязательно	
Basic Constraints
	Тип сертификата ключа подписи. Допустимы два значение:
•	сертификат уполномоченного лица Удостоверяющего центра;
•	сертификат пользователя.
Для сертификатов пользователей систем Oracle (АСФК), СПТО, СЭД, Landocs, ООС должно быть установлено значение «сертификат пользователя».	Обязательно для всех систем	
Extended Key Usage
	Назначение использования ключей. Устанавливается в виде битовой маски. Перечень допустимых значение представлен в Приложение Б
Для обеспечения корректного использования сертификата в системе Oracle (АСФК) должны быть установлены следующие значения:
•	id-eku-GF01;
•	OID типа документа с правом подписи (один или несколько).
Для обеспечения корректного использования сертификата в системе СПТО должны быть заполнены установлены следующие значения:
•	id-eku-GF04;
•	OID типа документа с правом подписи (один или несколько).
Для обеспечения корректного использования сертификата в системе СЭД должны быть заполнены установлены следующие значения:
•	id-eku-GF03;
•	OID типа документа с правом подписи (один или несколько).
Для обеспечения корректного использования сертификата в системе Landocs должны быть заполнены установлены следующие значения:
•	id-eku-GF02;
•	OID типа документа с правом подписи (один или несколько).
Для обеспечения корректного использования сертификата в системе ООС должны быть заполнены установлены следующие значения:
•	Один или несколько идентификаторов группы id-eku-GF05 в соответствие с полномочиями организации владельца сертификата и самого владельца сертификата;
•	id-kp-clientAuth.	Обязательно для всех систем	
CRL Distribution Points	Множество точек распространения списков отозванных сертификатов в виде URL.	Обязательно для всех систем	
Authority Information Access
	Множество точек распространения информации об выпускающем УЦ. Устанавливается УЦ при издании сертификата и может содержать:
•	адрес публикации сертификата выпускающего УЦ
•	адрес доступа к службе оперативной проверки статусов сертификатов по протоколу OCSP.
Для обеспечения корректного использования сертификата в системе Oracle (АСФК), СПТО,  СЭД, Landocs, ООС должны быть установлены следующие значения:
•	адрес доступа к службе OCSP как http://xx.yy.zz.aa/ocsp.dll.	Обязательно для всех систем	
Таб. 4 Перечень допустимых значений для расширения Key Usage
 	№ п\п	 	Название	 	Смещение битовой маски	 	Описание	
1		digitalSignature	0	Электронная цифровая подпись	
2		nonRepudiation /
contentCommitment	1	Неотрекаемость от авторства	
3		keyEncipherment	2	Шифрование ключей	
4		dataEncipherment	3	Шифрование данных	
5		keyAgreement	4	Согласование ключей	
6		keyCertSign	5	Электронная цифровая подпись сертификатов ключей подписи	
7		cRLSign	6	Электронная цифровая подпись списков отозванных сертификатов	
8		encipherOnly	7	Зашифрование	
9		decipherOnly	8	Расшифрование	
3  	Правила обработки полей ЕУС
3.1  	Правила обработки атрибутов владельца сертификата
При обработке атрибутов владельца сертификата ключа подписи необходимо:
•	для получения фамилии владельца сертификата необходимо использовать RDN surname поля Subject;
•	для получения имени и отчества необходимо использовать RDN GivenName поля Subject;
•	для получения наименования должности необходимо использовать RDN поля Subject Title;
•	для получения кода должности из справочника ЦАФК необходимо использовать RDN поля Subject UnstructuredName;
•	для получения фамилии и первых букв имени и отчества в формате «Фамилия И.О.» необходимо использовать RDN поля Subject CommonName;
•	для получения наименования вышестоящего подразделения необходимо использовать первое вхождение RDN OrganizationalUnit поля Subject;
•	для получения наименования подразделения где работает владелец сертификата ключа подписи необходимо использовать последнее вхождение RDN OrganizationalUnit поля Subject;
•	для получения наименования организации где работает владелец сертификата ключа подписи необходимо использовать RDN Organization поля Subject;
•	для получения наименования населенного пункта где расположено место работы владельца сертификата ключа подписи необходимо использовать RDN Locality поля Subject;
•	для получения наименования района/области где расположено место работы владельца сертификата ключа подписи необходимо использовать RDN State поля Subject;
•	для получения кода страны где расположено место работы владельца сертификата ключа подписи необходимо использовать RDN Country поля Subject (для России устанавливается RU);
•	для получения адреса электронной почты  владельца сертификата необходимо использовать RDN EMail поля Subject.
•	для получения инициалов необходимо использовать RDN Initials поля Subject;
•	для получения адреса места работы владельца сертификата ключа подписи необходимо использовать RDN StreetAddress поля Subject;
•	для получения идентификатора пользователя в Landocs необходимо использовать значение параметра OID=id-on-Landocsid атрибута Other Name расширения Subject Alternative Name;
•	для получения номера ключа при смене сертификата необходимо использовать значение параметра OID=id-on-Keyid атрибута Other Name расширения Subject Alternative Name;
•	для получения учетного номера организации необходимо использовать значение параметра OID=id-on-OrganizationId атрибута Other Name расширения Subject Alternative Name;
•	для получения ИНН организации пользователя необходимо использовать значение параметра OID=id-on-Inn атрибута Other Name расширения Subject Alternative Name;
•	для получения КПП организации пользователя необходимо использовать значение параметра OID=id-on-Kpp атрибута Other Name расширения Subject Alternative Name;
•	для получения полномочий организации и полномочий пользователя в ООС необходимо использовать значения идентификаторов расширения Extended Key Usage (полномочия организации являются составной частью идентификатора полномочий пользователя, перечень возможных полномочий организаций представлен в Таб.  Б.1).
•	для получения прав пользователя на подпись документов необходимо использовать значения идентификаторов расширения Extended Key Usage (перечень прав подписи различных типов документов представлен в Таб.  Б.1).
3.2  	Правила проверки ЕУС
При проверке ЕУС должны быть выполнены следующие действия:
•	проверка ЭЦП уполномоченного лица УЦ в сертификате;
•	проверка доверия к выпускающему УЦ;
•	проверка срока действия сертификата;
•	проверка соответствия значений KeyUsage использованию ключевой пары сертификата;
•	проверка соответствия значений Extended Key Usage использованию ключевой пары сертификата;
•	проверка соответствия значений Certificate Policies требованиям безопасности;
•	проверка статуса отзыва сертификата ключа подписи;
•	проверка корректности атрибутов владельца сертификата ключа подписи.
3.2.1  	Проверка доверия к выпускающему УЦ
Проверка доверия к выпускающему УЦ должна включать построение цепочки сертификатов Удостоверяющих центров, начиная с выпускающего УЦ, издавшего проверяемый сертификат и заканчивая доверенным сертификатом УЦ. При построении цепочки должны быть выполнены операции по проверке сертификатов цепочки в соответствие с требованиями раздела 6.1 RFC5280, включая, но не ограничиваясь следующими операциями:
•	проверку ЭЦП сертификата цепочки;
•	проверку срока действия сертификата цепочки на требуемый момент времени;
•	проверку наличия прав на издание сертификатов с расширением Extended Key Usage и значением расширения Extended Key Usage, соответствующим требованиям раздела 3.2.5  настоящего документа;
•	проверку наличия прав на издание сертификатов с расширением Certificate Policies и значением расширения Certificate Policies, соответствующим требованиям раздела 3.2.6  настоящего документа;
•	проверку одновременного присутствия следующих битовых масок KeyUsage: digitalSignature, nonRepudiation, keyCertSign (в случае отсутствия данного расширения проверка считается выполненной успешно);
•	проверку наличия расширения Basic Constrains со значением IsCA=TRUE;
•	другие проверки в соответствие с RFC5280.
Проверка доверия к первому сертификату цепочки должна выполняться на основании нахождения сертификата в хранилище сертификатов доверенных удостоверяющих центров. В качестве доверенного хранилища могут использоваться:
•	хранилище «Доверенные корневые центры сертификации» контекста LocalMachine операционной системы Microsoft Windows;
•	хранилище «Корневые сторонние центры сертификации» контекста LocalMachine операционной системы Microsoft Windows;
•	специализированное хранилище доверенных сертификатов прикладного программного обеспечения (при условии обеспечения защиты от изменения хранилища доверенных сертификатов пользователем программного обеспечения, не входящим в группу администраторов данного программного обеспечения).
3.2.2  	Проверка ЭЦП уполномоченного лица УЦ в сертификате
Проверка ЭЦП уполномоченного лица УЦ в сертификате должна выполняться на основании открытого ключа в сертификате выпускающего УЦ и полей signatureAlgorithm и signatureValue в сертификате пользователя.
3.2.3  	Проверка срока действия сертификата
При проверке срока действия сертификата должна быть выполнена проверка выполнения одновременно двух условий:
•	момент времени на который осуществляется проверка должен быть не раньше даты и времени, указанных в поле notBefore;
•	момент времени на который осуществляется проверка должен быть не позже даты и времени, указанных в поле notAfter.
3.2.4  	Проверка соответствия значений KeyUsage использованию ключевой пары сертификата
При проверке соответствия значений KeyUsage использованию ключевой пары сертификата необходимо выполнить:
•	для признания значений KeyUsage соответствующих использованию ключевой пары для создания ЭЦП 	должна быть выполнена проверка одновременного присутствия следующих битовых масок: digitalSignature, nonRepudiation;
•	для признания значений KeyUsage соответствующих использованию ключевой пары для установления защищенного соединения по протоколу TLS должна быть выполнена проверка одновременного присутствия следующих битовых масок: digitalSignature, nonRepudiation, keyEncipherment, keyAgreement;
•	для признания значений KeyUsage соответствующих использованию ключевой пары для создания зашифрованных объектов в формате CMS, PKCS#7 должна быть выполнена проверка присутствия следующей битовой маски: keyAgreement;
•	для признания значений KeyUsage соответствующих использованию ключевой пары для создания подписанных и зашифрованных объектов в формате CMS, PKCS#7 должна быть выполнена проверка одновременного присутствия следующих битовых масок: digitalSignature, nonRepudiation, keyAgreement;
•	для признания значений KeyUsage соответствующих использованию ключевой пары для выполнения согласования секретного ключа по DH должна быть выполнена проверка присутствия битовой маски: keyAgreement.
3.2.5  	Проверка соответствия значений Extended Key Usage использованию ключевой пары сертификата
При проверке соответствия значений Extended Key Usage использованию ключевой пары сертификата необходимо выполнить:
•	для признания значений Extended Key Usage соответствующих использованию ключевой пары в системе Oracle (АСФК)		 должна быть выполнена проверка наличия в списке идентификаторов OID, соответствующего типу электронного документа для которого выполняется проверка ЭЦП и идентификатора OID=id-eku-GF01;
•	для признания значений Extended Key Usage соответствующих использованию ключевой пары в системе СПТО		 должна быть выполнена проверка наличия в списке идентификаторов OID, соответствующего типу электронного документа для которого выполняется проверка ЭЦП и идентификатора OID=id-eku-GF04;
•	для признания значений Extended Key Usage соответствующих использованию ключевой пары в системе СЭД				 должна быть выполнена проверка наличия в списке идентификаторов OID, соответствующего типу электронного документа для которого выполняется проверка ЭЦП и идентификатора OID=id-eku-GF03;
•	для признания значений Extended Key Usage соответствующих использованию ключевой пары в системе Landocs				 должна быть выполнена проверка наличия в списке идентификаторов OID=id-eku-GF02;
•	для признания значений Extended Key Usage соответствующих использованию ключевой пары в системе ООС						 должна быть выполнена проверка наличия в списке идентификаторов OID= id-kp-clientAuth и идентификатора полномочий пользователя и организации пользователя, позволяющих создание ЭЦП данного типа.
3.2.6  	Проверка соответствия значений Certificate Policies области использования сертификата ключа подписи
При проверке соответствия значений Certificate Policies области использования сертификата ключа подписи необходимо выполнить проверку наличия идентификатора определяющего класс защиты УЦ и соответствие класса защиты требованиям безопасности.
3.2.7  	Проверка статуса отзыва сертификата ключа подписи
Способ проверок статуса отзыва устанавливается отдельно для каждой из систем и может включать:
•	проверка на основании локального списка отозванных сертификатов;
•	проверка на основании локального списка отозванных сертификатов и изменений к нему;
•	проверка на основании ответа службы оперативной проверки статусов сертификата (OCSP).
Проверка на основании локального списка отозванных сертификатов должна включать:
•	проверку ЭЦП локального СОС, в том числе соответствие выпускающего УЦ, издавшего проверяемый сертификат, и УЦ, издавшего СОС;
•	проверку срока действия СОС на момент времени проверки, в случае, если момент времени на который осуществляется проверка лежит за границами срока действия СОС должна быть выполнена попытка или получить актуальный СОС (возможно использование для этого адреса CDP в проверяемом сертификате), или уведомить пользователя о необходимости получить СОС, действительный на необходимую дату, или установить битовую маску для статуса проверки как CERT_TRUST_REVOCATION_STATUS_UNKNOWN или CERT_TRUST_IS_OFFLINE_REVOCATION.
Проверка на основании локального списка отозванных сертификатов и изменений к нему должна включать:
•	проверку ЭЦП локального СОС, в том числе соответствие выпускающему УЦ, издавшего проверяемый сертификат, и УЦ, издавшего СОС;
•	проверку срока действия СОС на момент времени проверки, в случае, если момент времени на который осуществляется проверка лежит за границами срока действия СОС должна быть выполнена попытка или получить актуальный СОС (возможно использование для этого адреса CDP в проверяемом сертификате), или уведомить пользователя о необходимости получить СОС, действительный на необходимую дату, или установить битовую маску для статуса проверки как CERT_TRUST_REVOCATION_STATUS_UNKNOWN или CERT_TRUST_IS_OFFLINE_REVOCATION.
•	проверку ЭЦП дополнения к локальному СОС, в том числе соответствие выпускающему УЦ, издавшего проверяемый сертификат, и УЦ, издавшего дополнение к СОС;
•	проверку срока действия дополнения к СОС на момент времени проверки, в случае, если момент времени на который осуществляется проверка лежит за границами срока действия дополнения к СОС должна быть выполнена попытка или получить актуальный СОС (возможно использование для этого адреса Freshest CRL в проверяемом сертификате), или уведомить пользователя о необходимости получить СОС, действительный на необходимую дату, или установить битовую маску для статуса проверки как CERT_TRUST_REVOCATION_STATUS_UNKNOWN или CERT_TRUST_IS_OFFLINE_REVOCATION.
Проверка на основании ответа службы оперативной проверки статусов сертификата (OCSP) должна включать:
•	обращение к службе OCSP в соответствие со спецификацией протокола;
•	получение ответа службы OCSP;
•	проверку соответствия идентификатора сертификата отправленного службе OCSP – полученному;
•	проверку ЭЦП ответа службы OCSP, включая:
o	проверку отсутствия изменений в полученном ответе;
o	проверку ЭЦП уполномоченного лица УЦ в сертификате службы OCSP;
o	проверку наличия доверия к УЦ, выпустившему сертификат службы OCSP;
o	проверку срока действия сертификата службы OCSP на текущий момент времени;
o	проверку наличия идентификатора id-kp-OCSPSigning в расширении Extended Key Usage сертификата службы OCSP.
3.2.8  	Проверка корректности атрибутов владельца сертификата ключа подписи
Проверка корректности атрибутов владельца сертификата ключа подписи должна выполняться на стадии утверждения издания сертификата обслуживающим персоналам УЦ.

4  	Порядок внесения изменений
При внесении изменений следует использовать следующие нотации:
•	при добавлении идентификаторов Certificate Policies должен использоваться принцип именования OID id-cp-<относительный ID>, не допускается повторное использование ранее зарегистрированных OID для целей отличных от заявленных изначально. Любое изменение принципов обработки OID должно выполняться путем введения нового OID.
•	при добавлении идентификаторов Extended Key Usage должен использоваться принцип именования OID id-eku-<относительный ID>, не допускается повторное использование ранее зарегистрированных OID для целей отличных от заявленных изначально. Любое изменение принципов обработки OID должно выполняться путем введения нового OID.
•	при добавлении идентификаторов Other Name расширения SubjectAlternativeName должен использоваться принцип именования OID id-on-<относительный ID>, не допускается повторное использование ранее зарегистрированных OID для целей отличных от заявленных изначально. Любое изменение принципов обработки OID должно выполняться путем введения нового OID.
•	при внесении изменений в содержание Subject сертификата ключа подписи недопустимо использование RDN для целей отличных от описанных в X.500, X.501, X.509. В случае необходимости добавления атрибутов владельца сертификата в сертификат необходимо задействовать атрибут Other Name расширения SubjectAlternativeName.
Разработчик программного обеспечения для использования в котором вводятся новые идентификаторы обязан внести в функционал программного обеспечения следующие возможности:
•	регистрацию текстовых описаний для используемых идентификаторов (OID)  в ОС Microsoft Windows при установке программного обеспечения;
•	регистрацию декодировщиков для корректного отображения атрибута Other Name расширения SubjectAlternativeName при установке программного обеспечения.
Внесение изменений в формат ЕУС должно быть согласовано с ФК. ФК оставляет за собой право согласовать формат с другими разработчиками эксплуатируемых систем и не принимать изменений до получения согласия всех разработчиков эксплуатируемых систем.

Приложение А	
(обязательное)
Перечень допустимых идентификаторов 
Certificate Policies
В таблице (см. Таб.  А.1) представлен актуальный на момент составления документа перечень идентификаторов для использования в расширении Certificate Policies ЕУС. Данный перечень может дополняться в соответствие с разделом 4  настоящего документа.

Таб.  А.1.  Перечень зарегистрированных идентификаторов
 	№ п\п	OID	Наименование	Назначение
(для 1-9 – группы функций)	Примечание	
1		1.2.643.3.61.502710.1.2		id-cp-CA	Класс защиты УЦ. Базовый OID		
2		1.2.643.3.61.502710.1.2.1	id-cp-CA-KC1	Класс защиты УЦ - КС1	В соответствие с требованиями ФСБ России к информационной безопасности удостоверяющих центров	
3		1.2.643.3.61.502710.1.2.2	id-cp-CA-KC2	Класс защиты УЦ - КС2		
4		1.2.643.3.61.502710.1.2.3	id-cp-CA-KC3	Класс защиты УЦ - КС3		
5		1.2.643.3.61.502710.1.3	id-cp-CSP	Наименование средств электронной цифровой подписи. Базовый OID		
6		1.2.643.3.61.502710.1.3.1	id-cp-CSP-CryptoPro	Средства электронной цифровой подписи - «КриптоПро CSP».

(Возможно использование взамен UnstructuredName поля Issuer для экономии места со следующего перевыпуска сертификата УЦ для сокращения размера Subject сертификата УЦ)	В соответствие с ФЗ «Об электронной цифровой подписи» сертификат должен содержать «	наименование средств электронной цифровой подписи, с которыми используется данный открытый ключ электронной цифровой подписи»	
Приложение Б	
(обязательное)
Перечень допустимых идентификаторов 
Extended Key Usage
В таблице (см. Таб.  Б.1) представлен актуальный на момент составления документа перечень идентификаторов для использования в расширении Extended Key Usage ЕУС. Данный перечень может дополняться в соответствие с разделом 4  настоящего документа.

Таб.  Б.1.  Перечень зарегистрированных идентификаторов Extended Key Usage
 	№ п\п	 	OID	 	Наименование	 	Назначение	 	Примечание	 	Присутствует в сертификате (да/нет)	
1		1.3.6.1.5.5.7.3.1	id-kp-serverAuth	Аутентификация сервера	Используется при установлении защищенного соединения по протоколу TLS для подтверждения подлинности сервера		
2		1.3.6.1.5.5.7.3.2	id-kp-clientAuth	Аутентификация клиента	Используется при установлении защищенного соединения по протоколу TLS для подтверждения подлинности клиента		
3		1.3.6.1.5.5.7.3.3	id-kp-codeSigning	ЭЦП программных компонентов			
4		1.3.6.1.5.5.7.3.4	id-kp-emailProtection	Защита электронной почты			
5		1.3.6.1.5.5.7.3.8	id-kp-timeStamping	Подпись меток доверенного времени			
6		1.3.6.1.5.5.7.3.9	id-kp-OCSPSigning	Подпись ответов службы OCSP			
7		1.2.643.2.1.6.8.5	id-eku-documentSigning	ЭЦП файла документа			
8		1.2.643.3.61.1.1.6.502710.3.4.1.2	id-eku-ftas2	ЭЦП документа ППО АС ФК	Используется для предоставления права подписи конкретного типа документа		
9		1.2.643.3.61.1.1.6.502710.3.4.1.3	id-eku-ftas3	Подпись первичных документов, содержащих бюджетные данные	 			
10		1.2.643.3.61.1.1.6.502710.3.4.1.4	id-eku-ftas4	Подпись первичных документов ЗКР	 			
11			1.2.643.3.61.1.1.6.502710.3.4.1.5	id-eku-ftas5	Подпись первичных документов по обработке поступлений	 			
12		1.2.643.3.61.1.1.6.502710.3.4.1.6	id-eku-ftas6	Подпись электронных платежных документов	 			
13		1.2.643.3.61.1.1.6.502710.3.4.1.7	id-eku-ftas7	Подпись первичных документов по бухгалтерскому учету	 			
14		1.2.643.3.61.1.1.6.502710.3.4.1.8	id-eku-ftas8	Подпись отчетов	 			
15		1.2.643.3.61.1.1.6.502710.3.4.1.9	id-eku-ftas9	Подпись первичных документов по внесению изменений в НСИ	 			
16		1.2.643.3.61.1.1.6.502710.3.4.1.10	id-eku-ftas10	Подпись протоколов и квитанций	 			
17		1.2.643.3.61.1.1.6.502710.3.4.1.11	id-eku-ftas11	Имитозащита данных	 			
18		1.2.643.3.61.502710.1.6	id-eku	Базовый идентификатор Extended Key Usage		нет	
19		1.2.643.3.61.502710.1.6.1	id-eku-technological	Подпись пакетов информационного обмена между системами	Используется при подписи транспортных пакетов при обмене между системами		
20		1.2.643.3.61.502710.1.6.2	id-eku-certrequest	Подпись запросов на издание сертификатов ключей подписи	Полномочие пользователя для подписания запросов на издание сертификатов ключей подписи		
21		1.2.643.3.61.502710.1.6.3	id-eku-GF	Расширенная роль. Базовый OID		нет	
22		1.2.643.3.61.1.1.6.502710.3.4.1.1	id-eku-GF01	АСФК 	для АСФК		
23		1.2.643.3.61.502710.1.6.3.1	id-eku-GF04	Передача статистической информации о технологических операциях	для СПТО		
24		1.2.643.3.61.502710.1.6.3.2	id-eku-GF03	Электронный документооборот	для СЭД		
25		1.2.643.3.61.502710.1.6.3.3	id-eku-GF02	Делопроизводство	для Landocs		
26		1.2.643.3.61.502710.1.6.3.4	id-eku-GF05	Работа с ООС. Базовый OID		нет	
27		1.2.643.3.61.502710.1.6.3.4.1	id-eku-GF05-customer	Заказчик. Базовый OID	Полномочия организации «Заказчик»	нет	
28		1.2.643.3.61.502710.1.6.3.4.1.1	id-eku-GF05-customer-admin	Заказчик. ЭЦП Администратора организации			
29		1.2.643.3.61.502710.1.6.3.4.1.2	id-eku-GF05-customer-authorized	Заказчик. ЭЦП Уполномоченного специалиста			
30		1.2.643.3.61.502710.1.6.3.4.1.3	id-eku-GF05-customer-sign	Заказчик. ЭЦП Специалиста с правом подписи контракта			
31		1.2.643.3.61.502710.1.6.3.4.1.4	id-eku-GF05-customer-template	Заказчик. ЭЦП Специалиста с правом направления шаблона контракта участнику размещения заказа			
32		1.2.643.3.61.502710.1.6.3.4.2	id-eku-GF05-authorized	Уполномоченный орган. Базовый OID	Полномочия организации «уполномоченный орган»	нет	
33		1.2.643.3.61.502710.1.6.3.4.2.1	id-eku-GF05-authorized-admin	Уполномоченный орган. ЭЦП Администратора организации			
34		1.2.643.3.61.502710.1.6.3.4.2.2	id-eku-GF05-authorized-authorized	Уполномоченный орган. ЭЦП Уполномоченного специалиста			
35		1.2.643.3.61.502710.1.6.3.4.2.3	id-eku-GF05-authorized-template	Уполномоченный орган. ЭЦП Специалиста с правом направления шаблона контракта участнику размещения заказа			
36		1.2.643.3.61.502710.1.6.3.4.3	id-eku-GF05-specializedOrg	Специализированная организация. Базовый OID	Полномочия организации «специализированная организация»	нет	
37		1.2.643.3.61.502710.1.6.3.4.3.1	id-eku-GF05-specializedOrg-admin	Специализированная организация. ЭЦП Администратора организации			
38		1.2.643.3.61.502710.1.6.3.4.3.2	id-eku-GF05-specializedOrg-authorized	Специализированная организация. ЭЦП Уполномоченного специалиста			
39		1.2.643.3.61.502710.1.6.3.4.4	id-eku-GF05-supervising	Контролирующий орган. Базовый OID	Полномочия организации «контролирующий орган»	нет	
40		1.2.643.3.61.502710.1.6.3.4.4.1	id-eku-GF05-supervising-admin	Контролирующий орган. ЭЦП Администратора организации			
41		1.2.643.3.61.502710.1.6.3.4.4.2	id-eku-GF05-supervising-authorized	Контролирующий орган. ЭЦП Уполномоченного специалиста			
42		1.2.643.3.61.502710.1.6.3.4.5	id-eku-GF05-financial	Финансовый орган. Базовый OID	Полномочия организации «Финансовый орган»	нет	
43		1.2.643.3.61.502710.1.6.3.4.5.1	id-eku-GF05-financial-admin	Финансовый орган. ЭЦП Администратора организации			
44		1.2.643.3.61.502710.1.6.3.4.5.2	id-eku-GF05-financial-authorized	Финансовый орган. ЭЦП Уполномоченного специалиста			
45		1.2.643.3.61.502710.1.6.3.4.6	id-eku-GF05-siteOperator	Оператор ООС. Базовый OID	Полномочия организации «оператор общероссийского официального сайта»	нет	
46		1.2.643.3.61.502710.1.6.3.4.6.1	id-eku-GF05-siteOperator-admin	Оператор ООС. ЭЦП Администратора организации			
47		1.2.643.3.61.502710.1.6.3.4.6.2	id-eku-GF05-siteOperator-authorized	Оператор ООС. ЭЦП Уполномоченного специалиста			
48		1.2.643.3.61.502710.1.6.3.4.7	id-eku-GF05-tradingOperator	Оператор электронной торговой площадки. Базовый OID	Полномочия организации «оператор электронной торговой площадки»	нет	
49		1.2.643.3.61.502710.1.6.3.4.7.1	id-eku-GF05-tradingOperator-admin	Оператор ЭТП. ЭЦП Администратора организации			
50		1.2.643.3.61.502710.1.6.3.4.7.2	id-eku-GF05-tradingOperator-authorized	Оператор ЭТП. ЭЦП Уполномоченного специалиста			
51		1.2.643.3.61.502710.1.6.4	id-eku-GF06	ЭЦП в системе внутреннего документооборота	Для внутреннего ведомственного документооборота сторонних участников. Один идентификатор для внутреннего документооборота любого ведомства		

Приложение В	
(обязательное)
Перечень допустимых значений 
RDN State

Таб.  В.1.  Допустимые значение RDN State
 	№ п\п	 	Название региона	
1		Республика Адыгея (Адыгея)	
2		Республика Башкортостан	
3		Республика Бурятия	
4		Республика Алтай	
5		Республика Дагестан	
6		Республика Ингушетия	
7		Кабардино-Балкарская Республика	
8		Республика Калмыкия	
9		Карачаево-Черкесская Республика	
10		Республика Карелия	
11		Республика Коми	
12		Республика Марий Эл	
13		Республика Мордовия	
14		Республика Саха (Якутия)	
15		Республика Северная Осетия – Алания	
16		Республика Татарстан	
17		Республика Тыва	
18		Удмуртская Республика	
19		Республика Хакасия	
20		Чеченская Республика	
21		Чувашская Республика – Чувашия	
22		Алтайский край	
23		Краснодарский край	
24		Красноярский край	
25		Приморский край	
26		Ставропольский край	
27		Хабаровский край	
28		Амурская область	
29		Архангельская область и Ненецкий автономный округ	
30		Астраханская область	
31		Белгородская область	
32		Брянская область	
33		Владимирская область	
34		Волгоградская область	
35		Вологодская область	
36		Воронежская область	
37		Ивановская область	
38		Иркутская область	
39		Калининградская область	
40		Калужская область	
41		Камчатский край	
42		Кемеровская область	
43		Кировская область	
44		Костромская область	
45		Курганская область	
46		Курская область	
47		Ленинградская область	
48		Липецкая область	
49		Магаданская область	
50		Московская область	
51		Мурманская область	
52		Нижегородская область	
53		Новгородская область	
54		Новосибирская область	
55		Омская область	
56		Оренбургская область	
57		Орловская область	
58		Пензенская область	
59		Пермский край	
60		Псковская область	
61		Ростовская область	
62		Рязанская область	
63		Самарская область	
64		Саратовская область	
65		Сахалинская область	
66		Свердловская область	
67		Смоленская область	
68		Тамбовская область	
69		Тверская область	
70		Томская область	
71		Тульская область	
72		Тюменская область	
73		Ульяновская область	
74		Челябинская область	
75		Забайкальский край	
76		Ярославская область	
77		г. Москва	
78		г. Санкт-Петербург	
79		Еврейская автономная область	
80		Ханты-Мансийский автономный округ – Югра	
81		Чукотский автономный округ	
82		Ямало-Ненецкий автономный округ	
83		Иные территории, включая, г. Байконур	

Приложение Г	
(обязательное)
Перечень допустимых значений SubjectAlternativeName.OtherName
Согласно RFC5280 атрибут OtherName расширения SubjectAlternativeName должен кодироваться как объект класса TYPE-IDENTIFIER (см. X.681).
TYPE-IDENTIFIER ::= CLASS {
       &id OBJECT IDENTIFIER UNIQUE,
       &Type 
    }
    WITH SYNTAX { &Type IDENTIFIED BY &id }
При этом id указывается в колонке «	OID», а Type – в колонке «	Тип кодирования данных» таблицы Таб.  Г.1.

Таб.  Г.1.  Перечень допустимых значений SubjectAlternativeName.OtherName
 	№ п\п	 	OID	 	Наименование	 	Данные 	 	ASN.1 тип данных 	 	Область применения	
1		1.2.643.1.12345.1	id-on-Landocsid	идентификатор пользователя в Landocs	DirectoryString	Landocs	
2		2.5.29.17	id-on-Keyid	идентификатор ключей пользователя при смене сертификата	DirectoryString	СЭД, АСФК, СПТО	
3		1.2.643.3.61.502710.1.5	id-on-OrganizationId	учетный номер организации	DirectoryString	ООС	
4		1.2.643.3.131.1.1	id-on-Inn	ИНН организации	DirectoryString	ООС	
5		1.2.643.3.61.502710.1.7	id-on-Kpp	КПП организации	DirectoryString	ООС