공인인증서경로검증기술규격 Accredited Certificate Path Validation Specification 년 월
목 차 개요 규격의구성및범위 관련표준및규격 국외표준및규격 국내표준및규격 기타 정의 전자서명법용어정의 용어의정의 용어의효력 약어 인증경로구축 인증경로검증알고리즘 인증서경로기본검증 검증알고리즘 부록 규격연혁
표목차 표 명칭형태
그림목차 그림 인증서경로검증흐름도 그림 검증알고리즘흐름도
공인인증서경로검증기술규격 개요 전자서명인증체계공인인증서비스의신뢰성을보장하기위해공인인증서 이하인증서 검증절차에관한규격의제정및개발이필요하다 따라서 본규격에서는인증서를검증하기위한인증경로구축방법과검증절차를명시한다 규격의구성및범위 본규격은인증서검증알고리즘을인증서경로구축과인증서경로검증알고 리즘으로나누어명시한다 첫번째로 인증서경로구축은인증서경로검증의한과정으로인증서를 검증하기위해필요한인증경로를구축하는절차를명시한다 두번째로 인증서경로검증알고리즘은인증경로상의인증서를검증하는 절차를명시한다 인증서검증절차에는서명검증 인증서상태검증 유효기간 검증 정책검증등이포함된다 관련표준및규격 국외표준및규격
국내표준및규격 전자서명인증서프로파일규격 전자서명인증서효력정지및폐지목록프로파일규격 디렉토리시스템인증프레임워크표준 전자서명인증체계 규격 식별번호를이용한본인확인기술규격 실시간인증서상태확인기술규격 인증기관간상호연동을위한 기술규격 공인인증기관간상호연동을위한사용자인터페이스기술규격 전자서명인증체계공인인증서갱신규격 기타 전자서명인증체계 가이 드라인
정의 전자서명법용어정의본규격에서사용된다음의용어들은전자서명법및동법시행령 공인인증기관의시설및장비등에관한규정 미래창조과학부고시 에정의되어있다 가 인증서 용어의정의 본규격을위하여다음과같은용어들을정의한다 가 대상인증서 검증대상이되는인증서나 신뢰당사자 대상인증서의신뢰성을확인하기위해인증서검증을수행하는자다 최상위인증기관정보 신뢰당사자가 및 에서정의한최상위인증기관인증서의신뢰여부확인을통하여신뢰하는정보로자가서명된인증서형태로구성됨 용어의효력본규격에서사용된다음의용어들은전자서명인증체계공인인증서경로검증알고리즘의구현정도를의미하는것으로 를준용하며다음과같은의미를지닌다 가 해야한다 필수이다 강제한다 기호 반드시준수해야한다 나 권고한다 기호 보안성및상호연동을고려하여준수할것을권장한다 다 할수있다 쓸수있다 기호 주어진상황을고려하여필요한경우에한해선택적으로사용할수있다 라 권고하지않는다 기호 보안성및상호연동을고려하여사용하지말것을권장한다 마 금지한다 허용하지않는다 기호 반드시사용하지않아야한다
바 언급하지않는다 정의하지않는다 기호 준수여부에대해기술하지않는다 약어 본규격에서는다음의약어가이용된다 가 식별명칭나 인증서효력정지및폐지목록다 발급자공개키식별자라 소유자공개키식별자마 소유자대체명칭바 인증서정책사 인증서효력정지및폐지목록분배점아 발급자정보접근자 인증서효력정지및폐지목록발급분배점 인증경로구축신뢰당사자는인증서를검증하기위해서대상인증서로부터최상위인증기관정보까지의인증경로를구축해야한다 신뢰당사자가온라인으로저장소를이용하여최상위인증기관인정보까지의인증경로를구축하는경우 대상인증서의 필드의 정보를이용해야한다 신뢰당사자는하위인증서의 확장필드내에포함된 와 및 가상위인증서의 확장필드에포함된 와상위인증서의발급자 및인증서일련번호와일치하는지를검증해야한다 의일치성을확인할때다음의규칙을적용해야한다 다른인코딩형식 예 과 으로인코딩된속성값은다른문자로인식한다 이아닌다른인코딩형식으로인코딩된속성값은대
소문자를구분한다 바이너리비교방식 인코딩형식으로인코딩된속성값은대 소문자를구분하지않는다 예 은 과동일한문자열 타입으로인코딩된속성값은선행공백문자 스페이스 탭 및후행공백문자를제거하고 하나이상의내부공백문자는하나의 스페이스 공백문자로변환후비교한다 예 스페이스 스페이스 은 스페이스 로변환됨 최상위인증기관정보의유효기간이현재시각을포함하고있는지검증해야한다 인증경로검증알고리즘 인증서경로기본검증 인증서경로검증과정은 그림 의인증서경로검증흐름도를준용해야한다 시작 입력과정 초기화과정 인증경로 현재시간 사용자초기정책집합 최상위인증기관정보 초기정책매핑금지 초기명시정책 초기모든정책금지 인증서처리과정 다음인증서처리준비과정 성공 / 실패지시자 성공의경우 - 정책관련정보 - 마지막인증서의공개키정보 실패의경우 - 실패이유 마지막인증서 예 아니오 종료 출력과정 출력준비과정 그림 인증서경로검증흐름도 입력과정인증서경로검증알고리즘을수행하기위해필요한입력값은다음과같다 길이 의인증경로신뢰당사자는 번째인증서를검증하기위해생성한인증경로 는
다음을만족해야한다 중인증서 의소유자는인증서 의발급자이어야한다 인증서 은신뢰당사자가신뢰하는최상위인증기관정보를이용해발급된인증서이다 인증서 은신뢰당사자가검증하길원하는대상인증서이다 현재시각 대상인증서의검증시각을설정한다 초기값은현재시각을설정해야한다 사용자초기정책집합 신뢰당사자가수용가능한인증서정책식별자를설정한다 초기값은상호연동인증서정책을포함해야한다 최상위인증기관정보인증서경로검증시신뢰당사자가이용하는신뢰된정보로써다음과같은정보를포함하며 초기값은 인증경로구축 을통해구축된최상위인증기관정보를설정해야한다 최상위인증기관명칭 최상위인증기관공개키알고리즘 최상위인증기관공개키 최상위인증기관공개키파라미터 선택사항 초기정책매핑금지 인증서경로검증절차에서정책매핑의수행여부를설정한다 로설정해야한다 초기값은 초기명시정책 사용자초기정책집합 중적어도하나의정책이유효한정책트리 에반영되는지를설정한다 초기값은 로설정해야한다 초기모든정책금지 인증서에포함된인증서정책확장필드내에포함된 를나타내는 의처리여부를설정한다 초기값은 로설정해야한다 초기화과정 신뢰당사자의입력값을기본으로다음의상태변수들을초기화한다
유효한정책트리 인증서경로검증과정에서생성되는인증서들의정책연결정보를표현한다 유효한정책트리 의깊이는현재처리된인증경로의길이와같아야한다 만약 어떤단계에서유효한정책이존재하지않으면유효한정책트리 는 로설정되고 한번 로설정되면더이상의인증서정책은처리되지않는다 유효한정책트리 안의각각의노드는다음과같은요소로구성되어야한다 유효한정책트리 의초기노드는다음과같고 이노드의깊이는 이다 명칭제한관련변수 허가된명칭범위 인증경로내의후속인증서의소유자 과 확장필드의값이속해야하는명칭의범위를정의하며 각각의명칭형태에따라허가되는범위를가진다 각각의명칭형태에대해서초기값은 로설정되며 확장필드의 필드를포함한인증서에의해각명칭형태별로재설정될수있어야한다 배제된명칭범위 인증경로내의후속인증서의소유자 과 확장필드의값이속하지않아야하는명칭의범위를정의하며 각각의명칭형태에따라배제되는범위를가진다 각각의명칭형태에대해서초기값은 로설정되며 확장필드의 필드를포함한인증서에의해각명칭형태별로재설정될수있어야한다 표 은이용되어야할명칭형태및그초기값을나타낸다
표 명칭형태 허가된명칭범위 배제된명칭범위 명칭형태 의 의 초기값 초기값 정책관련변수정책관련변수는다음과같다 명시정책 이아닌유효한정책집합 의존재여부를표시하는정수로 신뢰당사자에의해초기명시정책이설정되었다면초기값은 으로 그렇지않으면 로초기화된다 인증서의 확장필드의 필드를포함한인증서에의해이값은재설정될수있어야한다 모든정책금지 를나타내는 의처리여부를표시하는정수로모든정책금지 가 일경우 확장필드안에포함된 는유효한정책트리 에포함되지않는다 신뢰당사자에의해초기모든정책금지 가설정되었다면 초기값은 으로 그렇지않으면 로초기화된다 인증서의 확장필드내의 필드를포함한인증서에의해이변수는재설정될수있다 정책매핑 인증서정책의매핑여부를표시하는정수로정책매핑 이 일경우 처리되는인증서가 확장필드를가지고있더라도정책매핑은수행되지않는다 신뢰당사자에의해초기정책매핑금지 가설정되었다면 초기값은 으로 그렇지않으면 로초기화된다 인증서의
확장필드내의 필드를포함한인증서에의해이변수는재설정될수있어야한다 인증경로최대허용길이 인증경로를구성하는인증서수를제한하는정수로초기값은 이되며 인증서의 확장필드내에 필드를포함한인증서에의해이변수는재설정될수있어야한다 임시변수 임시공개키알고리즘 번째인증서의서명을검증하기위해필요한 인증서의공개키알고리즘을나타내며 최상위인증기관공개키알고리즘으로초기화된다 임시공개키 번째인증서의서명을검증하기위해필요한 인증서의공개키를나타내며 최상위인증기관공개키로초기화된다 임시공개키파라미터 번째인증서의서명을검증하기위해필요한 인증서의공개키와관련된파라미터를나타내며 최상위인증기관공개키파라미터로초기화된다 임시발급자식별명칭 번째인증서의명칭연결을검증하기위해필요한 인증서의소유자 을나타내며 최상위인증기관명칭으로초기화된다 인증서처리과정인증경로에포함된모든인증서에대해다음의과정을수행한다 기본검증을수행한다 단 이과정은인증서경로구축과정에서수행될수있다 임시공개키 임시공개키파라미터 임시공개키알고리즘을이용해인증서 의서명을검증하여야한다 만약 인증서 가인증경로의첫번째인증서라면임시변수들은최상위인증기관정보이다 그렇지않다면 임시변수들은 인증서의정보이다
인증서유효기간이현재시각 을포함하는지검증한다 인증서가현재시각 에폐지및효력정지되지않았음을검증하여야한다 인증서의상태를검증하기위해 을이용할수있고 또는 에서정의하고있는실시간인증서상태확인기술을준용할수있다 인증서의발급자 이임시발급자식별명칭과같은지검증한다 만약 인증서 가인증경로의첫번째인증서라면임시발급자명칭은최상위인증기관명칭이다 그렇지않다면 임시발급자명칭은 인증서의소유자명칭이다 허가된명칭범위 검증인증서 가자가발행인증서이고인증경로의마지막인증서가아니라면 이과정은수행되지않는다 그렇지않다면 인증서의소유자 이허가된명칭범위 의 명칭형태의범위에포함되는지검증한다 또한 인증서에 확장필드가존재한다면 이확장필드가포함하고있는값들이허가된명칭범위 가가지고있는각명칭형태의범위에포함되는지검증한다 배제된명칭범위 검증인증서 가자가발행인증서이고인증경로의마지막인증서가아니라면 이과정은수행되지않는다 그렇지않다면 인증서의소유자 이배제된명칭범위 의 명칭형태의범위에포함되지않는지검증한다 또한 인증서에 확장필드가존재한다면 이확장필드가포함하고있는값들이허가된명칭범위 가가지고있는각명칭형태의범위에포함되지않는지검증한다 유효한정책트리 를처리한다 인증서에 확장필드가존재하고유효한정책트리 가 이아닐때 인증서안의각인증서정책에대해유효한정책 트리 를처리한다 인증서 의인증서정책 가 가아니고 유효한정책트리 내 깊이노드들중에서 이인증서정책 를포함하는노드들가있을경우 인증서정책 에해당하는노드를
하부에생성하고유효한정책트리 를아래와같이설정한다 인증서 의인증서정책 정책 의 인증서 의인증서정책 가 가아니고 이수행되지않았다면 유효한정책트리 내 깊이의노드들중에서 이 인노드들에대해서정책 에해당하는노드를다음과같이하부에생성한다 인증서 의인증서정책 정책 의 인증서 의인증서정책 가 이면 유효한정책트리 내 깊이의노드들중에서 이포함하는모든노드에대해서다음과같은하부노드를생성한다 인증서 의 노드의 에해당하는정책 중하나 이노드의 값과동일단 이과정은모든정책금지가 보다크거나또는인증경로의마지막이아닌자가발행인증서일경우에수행되어야한다 인증서 의인증서정책 가 이고 유효한정책트리 내 깊이의노드들중에서 이 를포함하는노드들에대하여 다음과같은하부노드를생성한다 인증서 의
단 이과정은모든정책금지가 보다크거나또는인증경로의마지막이아닌자가발행인증서일경우에수행된다 유효한정책트리 내 또는그보다깊이가작은노드들중하부노드를가지지않으면 그노드를삭제한다 이조건을만족하는노드가없을때까지이과정을반복수행한다 인증서의 확장필드가 이면 깊이에해당되는모든노드들의 를 로설정하고 이아니면 로설정한다 확장필드가인증서내에없다면 유효한정책트리 는 로설정한다 한번 로유효한정책트리 가설정되면그값은변하지않는다 명시정책 이 보다크거나또는유효한정책트리 가 이아닌지검증한다 명시적정책 이 이고 유효한정책트리 가 일경우는검증에실패한다 처리되는인증서가인증경로의마지막인증서라면 출력준비과정 을수행하고 처리되는인증서가마지막인증서가아니라면 다음인증서처리준비과정 을수행한다 다음인증서처리준비과정다음인증서경로처리를준비하기위해다음의과정을수행한다 인증서정책매핑 인증서내에 확장필드가존재한다면 이확장필드내의 필드와 필드에 이존재하지않는지검증한다 인증서내에 확장필드가존재할경우다음을수행한다 정책매핑 필드가 보다크고유효한정책트리 내 깊이의노드들중에서 가 와일치하는
노드들에대해서 노드의 을 필드의값으로설정한다 인증서 의 인증서 의 유효한정책트리 내 깊이의노드들중에서 가 와일치하지않고 를가지는노드가있을경우 그상위노드에하부노드를생성하고 하부노드를다음과같이설정한다 인증서 의 인증서 의 정책매핑 이 이면 깊이 의유효한정책트리 에서 가 와같은노드들을삭제한다 유효한정책트리 의 또는그보다깊이가작은노드들중하부노드를가지지않으면 그노드를삭제한다 이조건을만족하는노드가없을때까지이과정을반복수행한다 인증서를검증하기위해임시변수들을재설정한다 임시발급자식별명칭 을 번째인증서의소유자 으로재설정한다 임시공개키 를현재처리되는 번째인증서의공개키로재설정한다 인증서의 필드내의 필드값이 이아닌파라미터를가지고있다면 임시공개키파라미터 를이파라미터로재설정한다 인증서의 확장필드내의 필드값이 인파라미터를가지거나또는파라미터가빠져있을경우 확장필드내의 필드와임시공개키알고리즘를
비교한다 만약 두값이서로다르다면임시공개키파라메터 를 로설정하고 두값이서로같다면 임시공개키파라메터 를변경하지않는다 임시공개키알고리즘을인증서의 필드내의 필드값으로재설정한다 명칭제한관련변수들을재설정한다 인증서에 확장필드가존재한다면 허가된명칭범위와배제된명칭범위 를재설정한다 인증서에 필드가존재한다면 각각의명칭형태에따라허가된명칭범위 를허가된명칭범위 와 의교집합으로재설정한다 인증서에 필드가존재한다면 각각의명칭형태에따라배제된명칭범위 를배제된명칭범위 와 의합집합으로재설정한다 현재처리되는인증서가자가발행인증서가아니라면 정책관련상태변수들을재설정한다 명시정책 이 이아니면 이값을 감소한다 정책매핑 이 이아니면 이값을 감소한다 모든정책매핑이 이아니면 이값을 감소한다 인증서의 확장필드내에 필드가존재하고이값이명시정책 보다작다면 명시정책 을 필드의값으로재설정한다 인증서의 확장필드내에 필드가존재하고이값이정책매핑 보다작다면 정책매핑 을 필드의값으로재설정한다 인증서의 확장필드내에 필드가존재하고이값이모든정책금지 보다작다면 모든정책금지 를 필드의값으로재설정한다
인증서의 확장필드내에 필드의값을이용해인증서 가인증기관인증서인지검증한다 인증서가자가발행되지않았다면 인증경로최대허용길이 가 보다큰지검사하고이값을 감소한다 그리고 인증서의 확장필드내에 필드가존재하고이값이인증경로최대허용길이 보다작다면 인증경로최대허용길이 를 필드의값으로재설정한다 인증서의 확장필드내에 비트가설정되어있는지검증한다 기타 확장필드가존재할경우 해당필드는반드시처리해야하며 인지된 확장필드일경우에도처리해야한다 출력준비과정 자가발행인증서가아니고 명시정책 이 이아니면 명시정책 을 감소한다 인증서의 확장필드내에 필드가존재하고이값이명시정책 보다작다면 명시정책 을 필드의값으로재설정한다 출력을위해임시변수들을재설정한다 임시공개키 를현재처리되는 번째인증서의공개키로재설정한다 인증서의 확장필드내의 필드값이 이아닌파라미터를가지고있다면 임시공개키파라미터 를이파라미터로재설정한다 인증서의 확장필드내의 필드값이 인파라미터를가지거나또는파라미터가빠져있을경우 확장필드내의 필드와임시공개키알고리즘 를비교한다 만약 서로다르다면 임시공개키파라메터 를 로설정한다
임시공개키알고리즘 을인증서의 확장필드내의 필드값으로재설정한다 기타 확장필드가존재할경우에는꼭처리하여야하며 인지된 확장필드일경우에도처리해야한다 사용자초기정책집합 과유효한정책트리 의교집합을계산한다 유효한정책트리 가 이면 유효한정책트리 와사용자초기정책집합 의교집합은 이다 유효한정책트리 가 이아니고 사용자초기정책집합 이 이라면 교집합의결과는유효한정책트리 이다 유효한정책트리 가 이아니고 사용자초기정책집합 이 가아니라면 교집합은다음과같이계산된다 을설정한다 은부모노드의 가 인노드들의집합이다 만약 의노드중사용자초기정책집합 에없고 가아닌노드와그하부노드들을유효한정책트리 에서삭제한다 만약 유효한정책트리 내 깊이에 를가지는노드가존재하고사용자초기정책집합이 가아니라면 다음과같이실행된다 깊이의 를 로갖는노드의 을 로설정한다 에포함되지않는사용자초기정책집합 안의정책 들에대해 깊이에서 를가지는노드의하부에다음과같은노드를생성한다 정책 의
깊이 의 를가지는깊이 의노드를삭제한다 유효한정책트리 의 또는그보다깊이가작은노드들중하부노드를가지지않으면 그노드를삭제한다 이조건을만족하는노드가없을때까지이과정을반복수행한다 명시정책 이 보다크거나또는유효한정책트리 가 이아닌지검증한다 검증알고리즘 인증서의상태를검증하기위해 을이용할경우 그림 검증 알고리즘의흐름도를준용해야한다 시작 입력과정 초기화과정 대상인증서 CRL 처리과정 인증서상태 종료 출력과정 예 대상인증서의상태확인 아니오 그림 검증알고리즘흐름도 입력과정 인증서의상태검증을위해다음의값들을입력한다 대상인증서
신뢰당사자가상태정보를확인하고자하는인증서로써 대상인증서의정보를 이용해신뢰당사자는상태정보를확인할수있다 초기화과정 인증서상태 이변수는인증서의상태를나타내고다음의값들을가질수있으며 으로초기화되어야한다 처리과정 인증서를검증하기위해 을획득한다 경로를구축하기위해 신뢰당사자는대상인증서의 확장필드내에포함된 와 및 가대상인증서의상태검증을위해이용되는 의 확장필드내에포함된 와 및 와서로일치하는지를검증한다 그러나만약대상인증서에대한 이간접 인경우 대상인증서의 분배점확장필드에 필드내 필드와 의발급자 값이같은지검사한다 또한 의 확장필드에 필드가설정되었는지를검증하여 을획득한다 현재시각이신뢰당사자가소유하고있는 의 보다이후일때새로운 을획득하여 새로운 의 가현재시각이후인지검증한다 의발급자 과범위를검증한다 대상인증서의발급자 이 의발급자 과일치하는지검사한다 인증서의 확장필드의 필드내에 필드가존재하는경우 이를수행하지않는다 이 확장필드를포함하고있다면 다음을검증한다 확장필드내의 필드와인증서의 확장필드내의 필드가존재한다면 확장필드의 필드중하나는인증서의 확장
필드내 중하나와일치해야한다 만약 확장필드내에 필드가존재하고대상인증서의 확장필드내에 필드가존재하지않을경우 의 확장필드내에 필드중하나는인증서의 확장필드내 필드와일치해야한다 을검증하기위해 발급자에대한인증경로를생성하고검증한다 만약 발급기관의인증서에 확장필드가존재한다면 로설정되었음을검증한다 의서명을검증한다 에서상태를확인하고자하는대상인증서의일련번호가존재하는지검증한다 그리고만약 대상인증서의 확장필드내 필드에 필드가존재하면 대상인증서의발급자 과 의 필드내 엔트리확장필드에있는 필드가서로일치하는지검증한다 만약 일치하는개체가존재하면인증서상태 에 엔트리확장필드의 필드의값을설정한다 일치하는개체가존재하지않으면 인증서상태 를 로설정한다 출력과정 대상인증서의인증서상태 를출력한다
부록 규격연혁 버전제 개정일제 개정내역 년 월 공인인증서경로검증기술규격 으로제정 년 월 관련국내표준및규격갱신내용반영 법률공포번호가해당법률개정시마다변경되는점을 고려하여법령명으로개정 년 월 공인전자서명인증체계기술규격개정에따라본문내용중관련기술규격참조변경사항개정