Erzwingung der Zertifikattransparenz für eine Liste von subjectPublicKeyInfo-Hashes deaktivieren

Deaktiviert die Durchsetzung der Anforderungen an die Zertifikattransparenz für eine Liste von subjectPublicKeyInfo-Hashes.

Mit dieser Richtlinie können Sie die Offenlegungsanforderungen für Zertifikatsketten deaktivieren, die Zertifikate mit einem der angegebenen subjectPublicKeyInfo-Hashes enthalten. Dadurch können Zertifikate, die sonst als nicht vertrauenswürdig gelten würden, weil sie nicht ordnungsgemäß öffentlich offengelegt wurden, weiterhin für Enterprise-Hosts verwendet werden.

Um die Durchsetzung der Zertifikattransparenz bei aktivierter Richtlinie zu deaktivieren, muss eine der folgenden Bedingungen erfüllt sein:
1. Der Hash stammt von der subjectPublicKeyInfo des Serverzertifikats.
2. Der Hash stammt von einer subjectPublicKeyInfo, die in einem CA-Zertifikat in der Zertifikatkette vorkommt, dieses CA-Zertifikat durch die X.509v3 nameConstraints-Erweiterung eingeschränkt ist, mindestens ein directoryName-nameConstraints in den permittedSubtrees vorhanden ist und der directoryName ein organizationName-Attribut enthält.
3. Der Hash stammt von einer subjectPublicKeyInfo, die in einem CA-Zertifikat in der Zertifikatkette vorkommt, das CA-Zertifikat mindestens ein organizationName-Attribut im Zertifikat-Subject aufweist und das Serverzertifikat dieselbe Anzahl an organizationName-Attributen in derselben Reihenfolge und mit bytegenau identischen Werten enthält.

Ein subjectPublicKeyInfo-Hash wird angegeben, indem der Name des Hashalgorithmus, das Zeichen „/“ und die Base64-Codierung dieses Hashalgorithmus angewendet auf die DER-codierte subjectPublicKeyInfo des angegebenen Zertifikats aneinandergereiht werden. Diese Base64-Codierung entspricht dem Format eines SPKI-Fingerabdrucks gemäß RFC 7469, Abschnitt 2.4. Nicht erkannte Hash-Algorithmen werden ignoriert. Derzeit wird nur der Hashalgorithmus „sha256“ unterstützt.

Wenn Sie diese Richtlinie deaktivieren oder nicht konfigurieren, wird jedes Zertifikat, das gemäß der Zertifikattransparenz offengelegt werden muss, als nicht vertrauenswürdig eingestuft, wenn es nicht entsprechend der Zertifikattransparenz-Richtlinie offengelegt wurde.

Beispielwert:

sha256/AAAAAAAAAAAAAAAAAAAAAA==
sha256//////////////////////w==