SMIME基线要求证书类型与生成配置文件详解

2023 年 1 月，CA/B 论坛就 S/MIME（安全多用途互联网邮件扩展）证书标准的签发出台了新指南，这些指南自 2023 年 9 月 1 日起生效。

S/MIME 证书是安装/运行在设备上的数字证书，用于身份确认并签署外发邮件。发送方与接收方都使用邮件签名证书发送加密消息。

S/MIME 基线要求是规范证书正确签发的规则与标准，确保所有安全标准得到满足，包含证书签发的最低标准准则。S/MIME 证书工作组撰写了基线文档，证书颁发机构、技术公司与浏览器社区一致认可。

该基线要求适用于日常向网络外部发送邮件的组织以及知名证书颁发机构。

不过，该基线不适用于签发内部使用证书的内部私有 CA，仅适用于公钥基础设施以及使用知名第三方证书的组织。

出台该修订旨在规范所有 CA 与注册机构的证书签发流程与实践。过去，CA 与注册机构的签发流程各异，可能引发安全风险。签发公开受信任的数字证书时，一致性是必须的。

S/MIME 基线要求涵盖：

— 证书的正确或不当使用。

— 主体身份验证，包括主体对域名的原始控制。

— 主体身份有效性核验，即 CA 与注册机构确保主体身份的合法性。

— CA 的运营实践与安全控制。

— 审计与合规。

基线要求影响四种验证类型的证书，包括个人验证、组织验证与扩展验证。在第 1.2 节中，基线针对证书主体定义了四种证书配置文件：

个人验证（Individual Validated）S/MIME 证书：此证书描述在主体字段中包含个人姓名，如"Michael Bay"，而非任何公司或组织名称。

邮箱验证（Mailbox Validated）S/MIME 证书：此证书描述包含电子邮件地址或序列号属性，例如 abc@maildomain.com 或类似 03:73:F0:57:FA:90:CD:E8:3B:E0:4E:C7:C6:EE:FD:5E 的序列号。

组织验证（Organization Validated）S/MIME 证书：此证书描述在主体字段中包含法人组织名称，因此主体行中不应出现个人姓名。

赞助者验证（Sponsor Validated）S/MIME 证书：此证书描述包含个人与组织名称的组合。此类证书验证由企业注册机构（Registered Authority）执行，组织向员工签发此类证书，员工姓名与公司名称均包含在主体行中。

上述每种证书均归属三种生成配置文件之一：

Legacy（遗留）：此配置文件适用于当前 S/MIME 证书，未来基线要求版本将停用。

Multipurpose（多用途）：此版本包含扩展密钥用法选项，可用于交叉用途，最长可签发 825 天有效期。

Strict（严格）：此版本采用严格生成方式，应用长期 S/MIME 证书配置文件，最长有效期为 825 天。