imported>DvO: Update: 'Primekey' -> 'Keyfactor'

2026-02-24T12:51:13Z

Update: 'Primekey' -> 'Keyfactor'

Neue Seite

{| class="wikitable float-right"
|+ style="background:#C0C0FF; font-size:larger;"| CMP (Certificate Management Protocol)
|-
| '''Familie:'''
| unbekannt
|-
| '''Einsatzgebiet:'''
| [[Zertifikatsmanagement|Zertifikatsverwaltung]]
|-
| '''Neueste Version:'''
| cmp2021(3)
|-
| '''[[Object Identifier|OID]] der neuesten Version:'''
| 1.3.6.1.5.5.7.0.16
|-
| '''TCP/UDP-Port:'''
| 80 (http), 443 (https), 829 (pkix-3-ca-ra)
|-
|colspan="2" style="text-align:center"|
{| style="float:right; padding-left:10px; text-align:center;" cellspacing="3"
|+ CMP im [[TCP/IP-Referenzmodell|TCP/IP-Protokollstapel]]:
|-
|rowspan="2" style="background:#FFCC99"| '''Anwendung'''
|rowspan="2" style="background:#9999FF"| '''CMP'''
|colspan="4" style="background:#9999FF"| '''CMP'''
|- style="background:#EEEEFF"
| '''[[Hypertext Transfer Protocol|HTTP]]'''
| '''[[Hypertext Transfer Protocol Secure|HTTPS]]'''
| '''[[Constrained Application Protocol|CoAP]]'''
| '''[[Simple Mail Transfer Protocol|SMTP]]'''
| '''…'''
|-
|style="background:#FFEEBB"| ''Transport''
|colspan="5" style="background:#EEEEFF"| [[Transmission Control Protocol|TCP]]
|-
|style="background:#FFEEBB"| ''Internet''
|colspan="5" style="background:#EEEEFF"| IP ([[IPv4]], [[IPv6]])
|-
|rowspan="2" style="background:#FFEEBB"| ''Netz-Zugang''
|rowspan="2" style="background:#EEEEEE"| [[Ethernet]]
|rowspan="2" style="background:#EEEEEE"| [[Token Bus|Token<br />Bus]]
|rowspan="2" style="background:#EEEEEE"| [[Token Ring|Token<br />Ring]]
|rowspan="2" style="background:#EEEEEE"| [[Fiber Distributed Data Interface|FDDI]]
|rowspan="2" style="background:#EEEEEE"| …
|}
|-
| '''Vorgeschlagener Standard:'''
|
<nowiki>RFC 9810</nowiki> (CMP, 2025)<ref name="RFC9810" />
|-
| '''Obsoleter Standard:'''
|
<nowiki>RFC 4210</nowiki> (CMP, 2005)<ref name="RFC4210" /><br />
<nowiki>RFC 2510</nowiki> (CMP, 1999)<ref name="RFC2510" />
|}

Das '''Certificate Management Protocol''' ('''CMP''', englisch für „Zertifikats-Verwaltungsprotokoll“) ist ein [[Netzwerkprotokoll|Protokoll]] von der [[Internet Engineering Task Force|IETF]] zur Verwaltung [[Digitales Zertifikat|digitaler Zertifikate]] nach dem Standard [[X.509]] in einer [[Public-Key-Infrastruktur]] (PKI). Das Protokoll regelt hierbei die Interaktion zwischen PKI-Klienten (Nutzern bzw. von ihnen verwendeten Anwendungen) oder PKI-Komponenten, die X.509-Zertifikate beantragen oder verwalten möchten, und PKI-Komponenten wie einer [[Registrierungsstelle]] (RA) oder [[Zertifizierungsstelle (Digitale Zertifikate)|Zertifizierungsstelle]] (CA).

== Nachrichtentypen ==
Eine CMP Nachricht kann einem der folgenden Typen entsprechen:
* Initialisierungs-Anforderung
* Initialisierungs-Antwort
* Zertifizierungs-Anforderung
* Zertifizierungs-Antwort
* [[Public-Key Cryptography Standards|PKCS]] #10 Zertifizierungs-Anforderung
* Beweis des Schlüsselbesitzes-Aufgabe
* Beweis des Schlüsselbesitzes-Antwort
* Aktualisierungs-Anfrage
* Aktualisierungs-Antwort
* Schlüssel-Wiederherstellungs-Anfrage
* Schlüssel-Wiederherstellungs-Antwort
* [[Zertifikatsperrliste|Widerruf]]-Anforderung
* Widerruf-Antwort
* Kreuz-Zertifizierungs-Anforderung
* Kreuz-Zertifizierungs-Antwort
* [[Zertifizierungsstelle (Digitale Zertifikate)|CA]]-Schlüssel-Aktualisierungs-Bekanntgabe
* Zertifikats-Bekanntgabe
* Widerruf-Bekanntgabe
* [[Zertifikatsperrliste|CRL]]-Bekanntgabe
* Bestätigung
* Verschachtelte Nachricht
* Allgemeine Nachricht
* Allgemeine Antwort
* Fehler-Nachricht
* Zertifikats-Bestätigung
* [[Polling (Informatik)|Abfrage]]-Anfrage
* Abfrage-Antwort

== Nachrichtenformat ==
CMP-Nachrichten sind ''DER''-kodierte Datenstrukturen, die in [[Abstract Syntax Notation One|ASN.1]] definiert sind. Der Grundaufbau besteht aus einem [[Header]], dessen Inhalt den meisten Nachrichtentypen gemein ist, und aus einem ''Body'' (Nachrichtenrumpf), der Informationen enthält, die für den jeweiligen Typ spezifisch sind. Außerdem können optional noch Daten zum Schutz der Integrität und Authentizität sowie zusätzliche, für den Empfänger eventuell nützliche Zertifikate in einer Nachricht enthalten sein.

Der Body der Anforderungstypen für ''Initialisierung'', ''Zertifizierung'', ''Schlüssel Aktualisierung'', ''Schlüssel Wiederherstellung'' und ''Kreuz-Zertifizierung'' entspricht dem in <nowiki>RFC 4211</nowiki><ref name="RFC4211" /> definierten [[Certificate Request Message Format]] (CRMF, deutsch ''Zertifikats-Anforderungs-Nachrichtenformat''). Die Formate der restlichen Nachrichten sind im <nowiki>RFC 9810</nowiki> beschrieben,<ref name="RFC9810" /> welches CMP definiert.

== Transport ==
Für den Transport von CMP-Nachrichten gibt es viele Möglichkeiten, insbesondere:
* In [[Hypertext Transfer Protocol|HTTP]]-Nachrichten gekapselt, optional zusätzlich über TLS abgesichert ([[Hypertext Transfer Protocol Secure|HTTPS]]), siehe <nowiki>RFC 9811</nowiki>.<ref name="RFC9811" />
* In [[Constrained Application Protocol|CoAP]]-Nachrichten gekapselt, ggf. zusätzlich über [[Datagram Transport Layer Security|DTLS]] abgesichert, siehe <nowiki>RFC 9482</nowiki>.<ref name="RFC9482" />
* Über [[Transmission Control Protocol|TCP]] oder jedes andere zuverlässige, verbindungsorientierte Transportprotokoll.
* In [[Datei]]en, z. B. über [[File Transfer Protocol|FTP]] oder [[Secure Copy|SCP]].
* Per [[E-Mail]], wobei der [[Multipurpose Internet Mail Extensions|MIME]]-Kodierungsstandard benutzt wird.

Der in HTTP gekapselte Transport ist am üblichsten.<ref>{{Webarchiv |url=http://osdir.com/ml/encryption.cryptlib/2005-11/msg00054.html |text=''Re: CMP – RFC???'' |wayback=20070930024511}} osdir.com (englisch).</ref>

Der [[Internet Media Type|Content-Type]] für CMP ist ''application/pkixcmp''. In veralteten Versionen wurde ''application/x-pkixcmp'' verwendet.

== Implementierungen ==
* [[OpenSSL]] ab Version 3.0 implementiert eine Vielzahl von CMP-Features in C und bietet ein Kommandozeilen-Tool für einen CMP-Client.<ref>[https://www.openssl.org/docs/manmaster/man1/openssl-cmp.html CMP client support in OpenSSL 3.0.] openssl.org (englisch).</ref> Der sogenannte ''generic CMP client''<ref>[https://github.com/siemens/gencmpclient github.com/siemens/gencmpclient]</ref> bietet darauf aufbauend eine relativ einfach nutzbare Programmierschnittstelle ({{enS|high-level API}}), die dem leichtgewichtigen CMP-Profil folgt, welches in <nowiki>RFC 9483</nowiki><ref name="RFC9483" /> definiert ist.
* ''BouncyCastle'' unterstützt CMP-Nachrichten für Java und C#.
* Die Bibliothek [[cryptlib]] implementiert CMPv2 in C.
* Diverse [[Zertifizierungsstelle (Digitale Zertifikate)|CA]]-Produkte unterstützen die wichtigsten Teile von CMPv2, etwa die in [[Java (Programmiersprache)|Java]] geschriebene [[Enterprise JavaBeans Certificate Authority|EJBCA]] der Firma ''Keyfactor'', der ''Certifier'' der finnischen Firma ''Insta'', die Entrust Certificate Authority, der Nexus Certificate Manager, der DigiCert Device Trust Manager und die IBM z/OS PKI Services.

== Geschichte ==

* CMP Version 1 wurde in <nowiki>RFC 2510</nowiki> (CMP, 1999)<ref name="RFC2510" /> spezifiziert.
* CMPv2 wurde in <nowiki>RFC 4210</nowiki> (CMP, 2005)<ref name="RFC4210" /> spezifiziert.
* CMPv3 wurde zunächst in <nowiki>RFC 9480</nowiki> (CMP, 2023)<ref name="RFC9480" /> als Erweiterung von <nowiki>RFC 4210</nowiki> spezifiziert, dann aber im Juli 2025 als eigenständiges Dokument herausgebracht <nowiki>RFC 9810</nowiki><ref name="RFC9810" /> Dort wurden auch diverse meist kleinere Erweiterungen eingefügt, insbesondere die Unterstützung von [[Schlüsselkapselungsverfahren|KEM]]-Schlüsselmaterial.

Die Spezifikation des HTTP-Transfers für CMP in <nowiki>RFC 6712</nowiki> (CMP, 2012)<ref name="RFC6712" /> wurde im Juli 2025 aktualisiert zu <nowiki>RFC 9811</nowiki>.<ref name="RFC9811" />

Im November 2023 wurde ein leichtgewichtiges CMP-Profil für industrielle Anwendungen als <nowiki>RFC 9483</nowiki><ref name="RFC9483" /> veröffentlicht,
ebenso eine Spezifikation zur Nutzung von Kryptoalgorithmen in CMP als <nowiki>RFC 9481</nowiki><ref name="RFC9481" /> und zum Transport von CMP-Nachrichten über CoAP als <nowiki>RFC 9482</nowiki>.<ref name="RFC9482" />

== Normen und Standards ==
* {{RFC-Internet |RFC=9810 |Titel=Internet X.509 Public Key Infrastructure – Certificate Management Protocol (CMP) |Datum=2025}}
* {{RFC-Internet |RFC=9811 |Titel=Internet X.509 Public Key Infrastructure – HTTP Transfer for the Certificate Management Protocol (CMP) |Datum=2025 |Kommentar=Erweiterung von <nowiki>RFC 9810</nowiki>}}
* {{RFC-Internet |RFC=4211 |Titel=Internet X.509 Public Key Infrastructure Certificate Request Message Format (CRMF) |Datum= |Kommentar=Basis für CMP und CMC}}
* {{RFC-Internet |RFC=9481 |Titel=Certificate Management Protocol (CMP) Algorithms |Datum=2023}}
* {{RFC-Internet |RFC=9482 |Titel=Constrained Application Protocol (CoAP) Transfer for the Certificate Management Protocol |Datum=2023}}
* {{RFC-Internet |RFC=9483 |Titel=Lightweight Certificate Management Protocol (CMP) Profile |Datum=2023}}

== Einzelnachweise ==
<references>
<ref name="RFC2510">
{{RFC-Internet |RFC=2510 |Titel=Internet X.509 Public Key Infrastructure Certificate Management Protocols |Datum=1999}}
</ref>
<ref name="RFC4210">
{{RFC-Internet |RFC=4210 |Titel=Internet X.509 Public Key Infrastructure Certificate Management Protocol (CMP) |Datum=2005}}
</ref>
<ref name="RFC4211">
{{RFC-Internet |RFC=4211 |Titel=Internet X.509 Public Key Infrastructure Certificate Request Message Format (CRMF) |Datum= |Kommentar=Basis für CMP und CMC}}
</ref>
<ref name="RFC6712">
{{RFC-Internet |RFC=6712 |Titel=Internet X.509 Public Key Infrastructure -- HTTP Transfer for the Certificate Management Protocol (CMP) |Datum=2012}}
</ref>
<ref name="RFC9480">
{{RFC-Internet |RFC=9480 |Titel=Certificate Management Protocol (CMP) Updates |Datum=2023}}
</ref>
<ref name="RFC9481">
{{RFC-Internet |RFC=9481 |Titel=Certificate Management Protocol (CMP) Algorithms |Datum=2023}}
</ref>
<ref name="RFC9482">
{{RFC-Internet |RFC=9482 |Titel=Constrained Application Protocol (CoAP) Transfer for the Certificate Management Protocol |Datum=2023}}
</ref>
<ref name="RFC9483">
{{RFC-Internet |RFC=9483 |Titel=Lightweight Certificate Management Protocol (CMP) Profile |Datum=2023}}
</ref>
<ref name="RFC9810">
{{RFC-Internet |RFC=9810 |Titel=Internet X.509 Public Key Infrastructure Certificate Management Protocol (CMP) |Datum=2025}}
</ref>
<ref name="RFC9811">
{{RFC-Internet |RFC=9811 |Titel=Internet X.509 Public Key Infrastructure – HTTP Transfer for the Certificate Management Protocol (CMP) |Datum=2025 |Kommentar=Erweiterung von <nowiki>RFC 9810</nowiki>}}
</ref>
</references>

[[Kategorie:Internet-Anwendungsprotokoll]]
[[Kategorie:Digitale Zertifikate]]

Certificate Management Protocol - Versionsgeschichte

imported>DvO: Update: 'Primekey' -> 'Keyfactor'