Het afdwingen van certificaattransparantie uitschakelen voor een lijst met subjectPublicKeyInfo-hashes

Schakelt het afdwingen van vereisten voor certificaattransparantie uit voor een lijst met subjectPublicKeyInfo-hashes.

Met dit beleid kun je de bekendmakingsvereisten voor certificaattransparantie uitschakelen voor certificaatketens die certificaten bevatten met een van de opgegeven subjectPublicKeyInfo-hashes. Hiermee wordt toegelaten dat certificaten worden gebruikt voor Enterprise-hosts, die anders niet zouden worden vertrouwd omdat ze niet op correcte wijze openbaar zijn bekendgemaakt.

Als je het afdwingen van certificaattransparantie wilt uitschakelen wanneer dit beleid is ingesteld, moet aan een van de volgende voorwaarden worden voldaan:
1. De hash is van de subjectPublicKeyInfo van het servercertificaat.
2. De hash is van een subjectPublicKeyInfo die voorkomt in een CA-certificaat in de certificaatketen, dat CA-certificaat is beperkt via de X.509v3 nameConstraints-extensie, er is een of meer directoryName nameConstraints aanwezig in de permittedSubtrees, en de directoryName bevat een organizationName-attribuut.
3. De hash is van een subjectPublicKeyInfo die voorkomt in een CA-certificaat in de certificaatketen, het CA-certificaat heeft een of meer organizationName-attributen in het certificaatonderwerp, en het servercertificaat bevat hetzelfde aantal organizationName-attributen, in dezelfde volgorde en met exact dezelfde byte-voor-byte waarden.

Een subjectPublicKeyInfo-hash wordt opgegeven door de volgende tekenreeksen samen te voegen: de naam van het hash-algoritme, het teken / en de Base64-codering van dat hash-algoritme, toegepast op de DER-gecodeerde subjectPublicKeyInfo van het opgegeven certificaat. Deze Base64-codering heeft dezelfde indeling als een SPKI Fingerprint, zoals gedefinieerd in RFC 7469, Section 2.4. Hash-algoritmes die niet worden herkend, worden genegeerd. Het enige hash-algoritme dat momenteel wordt ondersteund, is sha256.

Als je dit beleid uitschakelt of niet configureert, wordt elk certificaat dat via certificaattransparantie bekendgemaakt moet worden, als niet-vertrouwd beschouwd als het niet bekend is gemaakt volgens het beleid voor certificaattransparantie.

Voorbeeldwaarde:

sha256/AAAAAAAAAAAAAAAAAAAAAA==
sha256//////////////////////w==