Kiểm tra chứng thư số trong tài liệu đã ký

Subject mô tả chủ thể được cấp chứng thư; Issuer mô tả CA đã ký chứng thư đó. Các tên này thường được mã hóa dưới dạng Distinguished Name với nhiều thuộc tính như common name, organization, organizational unit và country. Giao diện rút gọn các thuộc tính quan trọng để dễ đọc, nhưng khi cần đối chiếu chính xác vẫn phải xem toàn bộ giá trị chủ thể.

Số serial chỉ duy nhất trong phạm vi một đơn vị cấp, vì vậy cần đọc serial cùng Issuer. Serial hữu ích khi đối chiếu hồ sơ cấp phát, phản hồi OCSP hoặc CRL. Nó không phải mã số thuế, số định danh cá nhân hay bằng chứng rằng người đang sử dụng khóa có thẩm quyền ký giao dịch cụ thể.

Hai mốc Not Before và Not After xác định khoảng hiệu lực của chứng thư, không phải khoảng tồn tại của tài liệu. Một chứng thư còn hạn hôm nay vẫn có thể đã bị thu hồi. Ngược lại, chứng thư đã hết hạn hôm nay không tự động làm mọi chữ ký được tạo trong quá khứ trở thành sai.

Để đánh giá chữ ký quá khứ, bộ xác minh cần biết thời điểm đáng tin cậy mà chữ ký đã tồn tại, trạng thái thu hồi tại thời điểm phù hợp và chuỗi chứng thư khi đó. Thuộc tính thời gian do máy người ký ghi lại có thể bị điều chỉnh; dấu thời gian được một dịch vụ độc lập ký cung cấp bằng chứng mạnh hơn, nhưng cũng phải được xác minh như một token có chứng thư riêng.

Chứng thư người ký thường do một CA trung gian cấp. Bộ xác minh dựng đường dẫn qua các chứng thư trung gian tới một root CA được cấu hình làm neo tin cậy, đồng thời kiểm tra chữ ký trên từng chứng thư, thời hạn, ràng buộc CA và mục đích sử dụng. Chứng thư được nhúng trong tài liệu có thể giúp hoàn thiện đường dẫn nhưng không tự biến nó thành nguồn tin cậy.

OCSP hỏi trạng thái một chứng thư cụ thể; CRL là danh sách thu hồi do CA công bố. Kết quả “good” hoặc “không ghi nhận thu hồi” chỉ có ý nghĩa trong phạm vi phản hồi và thời điểm của nguồn đó. Nếu nguồn không truy cập được hoặc dữ liệu quá cũ, trạng thái đúng là chưa xác định, không phải mặc định chứng thư an toàn.