X.509 v3 Policy Constraints Extension

Tanımı ve Standart Kapsamı

X.509 v3 Policy Constraints Extension, IETF RFC 5280 standardının 4.2.1.11 numaralı maddesinde tanımlanan ve bir sertifika zincirinde sertifika politikası denetim kurallarının nasıl işletileceğini zorunlu kılan ileri düzey bir PKI uzantısıdır.

Bu uzantı, bir Kök veya Ara CA sertifikasından sonraki alt sertifikalarda açık bir politika beyanının (Explicit Policy) zorunlu olup olmadığını veya politika eşleştirmelerinin (Policy Mapping) yasaklanıp yasaklanmayacağını belirleyen iki kritik tamsayı sayacı içerir. Kural olarak critical (kritik) olarak işaretlenmelidir.

ASN.1 Yapısı ve Sayaç Parametreleri

Uzantının ASN.1 sözdizimi şu şekildedir (OID: 2.5.29.36):

PolicyConstraints ::= SEQUENCE {
    requireExplicitPolicy           [0]     SkipCerts OPTIONAL,
    inhibitPolicyMapping            [1]     SkipCerts OPTIONAL
}

SkipCerts ::= INTEGER (0..MAX)

• requireExplicitPolicy (INTEGER): Belirtilen değer kadar sertifika adımından sonra zincirdeki tüm sertifikaların geçerli bir politika OID içermesini zorunlu kılar. Değer 0 ise, hemen bir sonraki sertifikadan itibaren açık politika zorunludur.
• inhibitPolicyMapping (INTEGER): Belirtilen değer kadar sertifika adımından sonra zincirdeki hiçbir sertifikada Policy Mappings uzantısının işletilmesine izin vermez. Değer 0 ise hemen sonraki sertifikada politika eşleştirmesi tamamen devre dışı kalır.

Güvenlik Mimarisi ve Risk Önleme

Policy Constraints, üçüncü taraf ortaklara veya alt kuruluşlara verilen Ara CA yetkilendirmelerinde alt kuruluşun yetkisini aşarak genel geçer güvence sertifikaları üretmesini önleyen matematiksel bir güvenlik kalkanıdır.