CA/B 论坛投票 · SC-061v4
SC-061v4：新的 CRL 条目必须带吊销原因码
详细信息
- 投票
- SC-061v4
- 标题
- New CRL Entries must have a Revocation Reason Code
- 状态
- 通过
- 日期
- 2023-03-02
- 通过
- 生效
- BR 版本
- 1.8.7
- 官方页面
- cabforum.org
关键日期
- 用户证书新增的 CRL 条目必须使用规定的原因码
SC-061v4 要求每次吊销都说清楚原因。从 2023-07-15 起，CA 吊销 TLS 证书时，新增的 CRL 条目必须带上符合情况的原因码，比如 keyCompromise（密钥泄露）或 superseded（已被取代），规则沿用 Mozilla 根证书政策里已有的要求。
改了什么
SC-061v4 修改了基线要求的 §4.9.1.1（吊销用户证书的原因）和 §7.2.2（CRL 扩展）。§4.9.1.1 中每一种吊销情形都对应一个 CRL 原因：私钥泄露或可被算出时用 keyCompromise（#1）；证书误签或被替换时用 superseded（#4）；域名不再使用时用 cessationOfOperation（#5）；用户信息变化时用 affiliationChanged（#3）；CA 因滥用等原因收回证书时用 privilegeWithdrawn（#9）。没有说明原因的吊销记为“unspecified”，做法是不加 reasonCode 扩展。提案来自 Mozilla，Google Trust Services 和微软附议。
生效日期
基线要求修改于 2023-07-15 生效。
影响谁
SC-061v4 主要影响 CA，以及所有分析吊销数据的人。有了吊销原因，依赖方和研究人员能更清楚地区分“密钥泄露”和“例行替换”。
该怎么做
向 CA 或证书代理商申请吊销时，如实说明原因：私钥泄露就报告为密钥泄露，这样 CA 还能按 SC-073 阻止该密钥再被使用。用 ACME 吊销时可以在请求里带上原因码（例如 certbot 和 acme.sh 的吊销命令都支持指定原因）。