X.509 v3 Inhibit Any Policy Extension

Tanımı ve Kök Güvenlik Amacı

X.509 v3 Inhibit Any Policy Extension, IETF RFC 5280 spesifikasyonunun 4.2.1.14 numaralı bölümünde tanımlanan, özel bir joker (wildcard) politika olan anyPolicy (OID: 2.5.29.32.0) tanımlayıcısının sertifika zincirinde kabul edilmesini engelleyen kısıtlama uzantısıdır.

Standart PKI mimarisinde bir sertifika anyPolicy OID'si içeriyorsa, doğrulayıcı yazılım tarafından herhangi bir politika kısıtlamasına bakılmaksızın geçerli kabul edilebilir. Inhibit Any Policy uzantısı bu joker kabulün kaç adım sonra geçersiz kılınacağını kesin olarak tayin eder. RFC 5280 gereği her zaman critical (kritik) olmalıdır.

ASN.1 Sözdizimi ve Çalışma Mantığı

Uzantının ASN.1 tanımı oldukça yalındır (OID: 2.5.29.54):

InhibitAnyPolicy ::= SkipCerts

SkipCerts ::= INTEGER (0..MAX)

SkipCerts Değeri:

Eğer SkipCerts = 0 ise, bu sertifikanın doğrudan altında yer alan ilk sertifikadan itibaren anyPolicy OID'si açık bir politika olarak kabul edilmez. Alt sertifikaların mutlaka somut ve tanımlı bir politika OID (Örn: 2.16.792.1.2.1.1.5.7.1 BTK Nitelikli Sertifika Politikası) taşıması gerekir.
Eğer SkipCerts = 1 ise, bir sonraki ara CA anyPolicy içerebilir fakat onun altındaki sertifikalarda joker politika geçersiz sayılır.

Özellik	Standart Değer	Açıklama
OID	`2.5.29.54`	id-ce-inhibitAnyPolicy nesne tanımlayıcısı.
Kritiklik	`TRUE (Critical)`	Uzantıyı tanımayan doğrulayıcılar zinciri reddetmelidir.
Kullanım Yeri	Kök ve Ara CA	Yalnızca hiyerarşi yetkilendiren CA sertifikalarında yer alır.

Yüksek Güvenlikli e-İmza Altyapılarında Önemi

Türkiye'deki 5070 Sayılı Elektronik İmza Kanunu ve ETSI EN 319 411-1 / 319 411-2 standartları uyarınca, Nitelikli Elektronik Sertifikalar (NES) asla muğlak veya joker politikalarla üretilemez. Bu nedenle BTK Ulusal Kök CA sertifikalarında Inhibit Any Policy kuralı işletilerek tüm güven hiyerarşisi kesin yasal OID'lere bağlanmıştır.