是否有任何X.509Certificate在实践中很少或从未使用过的扩展/扩展密钥使用属性？
是因为从未成为已颁发证书的一部分，还是因为它们在验证过程中由于某种原因被跳过（例如 RFC 中关于属性使用的模糊性）？
如果可用的话，相反的文档（即已知在该领域使用的属性扩展/扩展密钥用法列表）也会对我感兴趣。
X509v3 证书的哪些属性从未真正使用过？
信息安全
tls
证书
公钥基础设施
x.509
2021-08-20 18:16:18
1个回答
请注意，根据定义，可能的扩展集是不受限制的（至少实际上不是；内部限制大约为 128 2 255）。X.509 标准中描述了标准扩展，但其他地方可能还有更多。特别是，Microsoft 的实现（例如 AD 证书服务）倾向于使用一些 Microsoft 特定的扩展（例如指定用于颁发给定证书的“证书模板”的扩展）。
在RFC 5280（这是“互联网上的 X.509”的标准）中描述的扩展中，以下是在实践中很少使用的：
Policy Mappings：无论如何，人们很少能得到正确的策略，要有意义地使用映射，您必须了解证书策略的工作原理。Issuer Alternative Names：这不是一个非常有用的扩展，因为证书路径中的名称链接使用专有名称，因此没有理由为颁发者提供额外的名称（如果实体需要额外的名称，它们将Subject Alternative Names与证书中的名称相同）该实体）。Name Constraints: 比方说，现有实现的支持有点缺乏可靠性。此外，语义是复杂和人为的，所以即使有人说他们实现了它，你也不能确定他们是否正确地实现了它，而且很难测试。因此，没有人真正使用它们。Policy Constraints和Inhibit anyPolicy：与策略映射相同的原因。Subject Directory Attributes: 太新，范围太广。
所有其他标准扩展都是常用的（并不总是使用，但足够常用）。但是，这些扩展的某些功能很少使用，包括间接 CRL（CRL 颁发者不是 CA）、不涵盖所有撤销原因的 CRL 范围、X.400 地址、...