Das Certificate Management Protocol (CMP, englisch für „Zertifikats-Verwaltungsprotokoll“) ist ein Protokoll von der IETF zur Verwaltung digitaler Zertifikate nach dem Standard X.509 in einer Public-Key-Infrastruktur (PKI). Das Protokoll regelt hierbei die Interaktion zwischen PKI-Klienten (Nutzern bzw. von ihnen verwendeten Anwendungen) oder PKI-Komponenten, die X.509-Zertifikate beantragen oder verwalten möchten, und PKI-Komponenten wie einer Registrierungsstelle (RA) oder Zertifizierungsstelle (CA).
Nachrichtentypen
Eine CMP Nachricht kann einem der folgenden Typen entsprechen:
CMP-Nachrichten sind DER-kodierte Datenstrukturen, die in ASN.1 definiert sind. Der Grundaufbau besteht aus einem Header, dessen Inhalt den meisten Nachrichtentypen gemein ist, und aus einem Body (Nachrichtenrumpf), der Informationen enthält, die für den jeweiligen Typ spezifisch sind. Außerdem können optional noch Daten zum Schutz der Integrität und Authentizität sowie zusätzliche, für den Empfänger eventuell nützliche Zertifikate in einer Nachricht enthalten sein.
Der Body der Anforderungstypen für Initialisierung, Zertifizierung, Schlüssel Aktualisierung, Schlüssel Wiederherstellung und Kreuz-Zertifizierung entspricht dem in RFC4211 definierten Certificate Request Message Format (CRMF, deutsch Zertifikats-Anforderungs-Nachrichtenformat). Die Formate der restlichen Nachrichten sind im RFC9810 beschrieben, welches CMP definiert.
Transport
Für den Transport von CMP-Nachrichten gibt es viele Möglichkeiten, insbesondere:
In HTTP-Nachrichten gekapselt, optional zusätzlich über TLS abgesichert (HTTPS), siehe RFC9811.
In CoAP-Nachrichten gekapselt, ggf. zusätzlich über DTLS abgesichert, siehe RFC9482.
Über TCP oder jedes andere zuverlässige, verbindungsorientierte Transportprotokoll.
Per E-Mail, wobei der MIME-Kodierungsstandard benutzt wird.
Der in HTTP gekapselte Transport ist am üblichsten.
Der Content-Type für CMP ist application/pkixcmp. In veralteten Versionen wurde application/x-pkixcmp verwendet.
Implementierungen
OpenSSL ab Version 3.0 implementiert eine Vielzahl von CMP-Features in C und bietet ein Kommandozeilen-Tool für einen CMP-Client. Der sogenannte generic CMP client bietet darauf aufbauend eine relativ einfach nutzbare Programmierschnittstelle (englischhigh-level API), die dem leichtgewichtigen CMP-Profil folgt, welches in RFC9483 definiert ist.
BouncyCastle unterstützt CMP-Nachrichten für Java und C#.
Diverse CA-Produkte unterstützen die wichtigsten Teile von CMPv2, etwa die in Java geschriebene EJBCA der Firma Keyfactor, der Certifier der finnischen Firma Insta, die Entrust Certificate Authority, der Nexus Certificate Manager, der DigiCert Device Trust Manager und die IBM z/OS PKI Services.
Geschichte
CMP Version 1 wurde in RFC2510 (CMP, 1999) spezifiziert.
CMPv2 wurde in RFC4210 (CMP, 2005) spezifiziert.
CMPv3 wurde zunächst in RFC9480 (CMP, 2023) als Erweiterung von RFC4210 spezifiziert, dann aber im Juli 2025 als eigenständiges Dokument herausgebracht RFC9810 Dort wurden auch diverse meist kleinere Erweiterungen eingefügt, insbesondere die Unterstützung von KEM-Schlüsselmaterial.
Die Spezifikation des HTTP-Transfers für CMP in RFC6712 (CMP, 2012) wurde im Juli 2025 aktualisiert zu RFC9811.
Im November 2023 wurde ein leichtgewichtiges CMP-Profil für industrielle Anwendungen als RFC9483 veröffentlicht,
ebenso eine Spezifikation zur Nutzung von Kryptoalgorithmen in CMP als RFC9481 und zum Transport von CMP-Nachrichten über CoAP als RFC9482.
Normen und Standards
RFC: 9810– Internet X.509 Public Key Infrastructure – Certificate Management Protocol (CMP).2025(englisch).
RFC: 9811– Internet X.509 Public Key Infrastructure – HTTP Transfer for the Certificate Management Protocol (CMP).2025(Erweiterung von RFC 9810,englisch).
RFC: 4211– Internet X.509 Public Key Infrastructure Certificate Request Message Format (CRMF).(Basis für CMP und CMC,englisch).
123RFC: 9810– Internet X.509 Public Key Infrastructure Certificate Management Protocol (CMP).2025(englisch).
12RFC: 4210– Internet X.509 Public Key Infrastructure Certificate Management Protocol (CMP).2005(englisch).
12RFC: 2510– Internet X.509 Public Key Infrastructure Certificate Management Protocols.1999(englisch).
↑RFC: 4211– Internet X.509 Public Key Infrastructure Certificate Request Message Format (CRMF).(Basis für CMP und CMC,englisch).
12RFC: 9811– Internet X.509 Public Key Infrastructure – HTTP Transfer for the Certificate Management Protocol (CMP).2025(Erweiterung von RFC 9810,englisch).
12RFC: 9482– Constrained Application Protocol (CoAP) Transfer for the Certificate Management Protocol.2023(englisch).