Управление сертификатами через CMS: обновление CMC в 2026 году¶

В июле 2026 года опубликована новая серия RFC по Certificate Management over CMS (CMC). Она дополняет знания о формате CMS и PKI современными механизмами выдачи, обновления и сопровождения сертификатов. Важно: CMC сам по себе не является ГОСТ-спецификацией. ГОСТ применяется при наличии отдельно согласованных подписей, сертификатов и алгоритмических профилей.

Новая серия¶

RFC	Назначение	Что заменяет
RFC 10002	Структуры запросов и ответов управления сертификатами на базе CMS	RFC 5272 и обновления RFC 6402
RFC 10003	Транспорт для CMC: HTTP, файлы, электронная почта, TCP	RFC 5273 и обновления RFC 6402
RFC 10004	Требования соответствия CMC для клиентов, RA и CA	RFC 5274 и обновления RFC 6402

Все три относятся к Standards Track (Proposed Standard), но их нормативная область — общий протокол CMC, а не специфический профиль ГОСТ.

Архитектура¶

Заявитель / сервер НАЙС.ОС
    │  запрос сертификата, доказательство владения ключом
    ▼
Регистрационный центр (RA), если используется
    │  проверка и передача запроса
    ▼
Удостоверяющий центр (CA)
    │  выпуск, отказ или обновление сертификата
    ▼
CMC-ответ с данными и подтверждениями

Реализация должна учитывать проверки владения закрытым ключом, защищённые запросы, требования к подписанным CMS, транспорт и политику удостоверяющего центра.

Где здесь ГОСТ¶

Профиль ГОСТ для создаваемого ключа или сертификата должен соответствовать правилам X.509 и PKCS#10, в частности Р 1323565.1.023-2022 и RFC 9215. Поддержка самого CMC на стороне сервера УЦ — отдельное требование. Без испытаний с конкретным УЦ нельзя заявлять, что CMS-поддержка НАЙС.ОС автоматически обеспечивает выдачу сертификатов через CMC.

Практический смысл¶

Для корпоративной инфраструктуры это перспективный путь автоматизации выпуска и обновления сертификатов. На практике нужно сначала выяснить, поддерживает ли УЦ CMC, какие запросы и способы аутентификации принимает, разрешены ли алгоритмы ГОСТ для конкретной политики, и как выполняется проверка статуса и журналирование операций.

Источники: RFC 10002, RFC 10003, RFC 10004, RFC 5652 — CMS.

С чего состоит безопасная регистрация сертификата¶

CMC описывает управление сертификатами поверх CMS. Сертификатный УЦ может обрабатывать PKCS#10 либо другие структуры запросов, а для обмена использовать Simple или Full PKI Request. Принципиально важно доказательство владения закрытым ключом (Proof-of-Possession), установление личности, полномочия RA и аутентичность ответов CA.

Клиент с ГОСТ-ключом
  ├─ PKCS#10 / CRMF (запрос)
  ├─ Proof-of-Possession
  └─ аутентификация клиента / transaction-id / nonce
             |
             v
      CMC Request (CMS)
             |
          [RA] (не обязательно)
             |
             v
    CA → решение → CMC Response
             |
             v
  проверка ответа / цепочки / статуса / установка сертификата

Роли трёх новых RFC¶

RFC 10002 задаёт синтаксис CMC, типы запросов/ответов и контрольные элементы; заменяет RFC 5272 и 6402.
RFC 10003 задаёт транспортную часть; сам по себе не навязывает один HTTP-сервер.
RFC 10004 задаёт требования соответствия и обязательность поведения клиентских, регистрационных и удостоверяющих компонентов.

Этот набор не говорит, что CA обязан использовать ГОСТ. ГОСТ-профиль подписанного запроса и сертификата выбирается отдельно по RFC 9215, ГОСТ-подписям, требованиям конкретного УЦ и национальным рекомендациям.

Ошибки интеграции, которые нужно заранее предусмотреть¶

Заявитель владеет ключом, но не доказал право на запрашиваемое имя: запрос должен быть отклонён по политике RA/CA.
Запрос повторён повторно с тем же идентификатором: сервер должен правильно обработать состояние транзакции и nonce.
Транспорт доступен, но ответ CMC не подписан доверенным источником: сертификат не должен приниматься автоматически.
Получен сертификат с неверными keyUsage, EKU или параметрами ГОСТ: импорт без проверки недопустим.
Стороны используют несовместимые CMC-контроли: успех HTTP не означает успех выдачи.

Что означает поддержка CMC в НАЙС.ОС¶

Наличие OpenSSL CMS позволяет работать с форматом CMS, но ещё не доказывает наличие готового CMC enrollment-клиента, обработчика всех CMC controls или поддержки ГОСТ выдачи у внешнего CA. До заявления готовой функции требуется тест реального CMC Request/Response, проверки цепочки и записи ключа на стороне клиента. Практика CMS, PKI, ASN.1.

Главные первоисточники: RFC 10002, RFC 10003, RFC 10004, RFC 5652.