Das Certificate Management Protocol (CMP) ist ein in RFC 4210 standardisiertes Protokoll für die Verwaltung des gesamten Lebenszyklus von X.509-Zertifikaten zwischen Endgeräten und CAs bzw. RAs. Es deckt unter anderem Initial Registration, Re-Keying, Aktualisierung, Widerruf und Wiederherstellung sowie Cross-Zertifizierung ab.
Nachrichten in CMP werden im PKIMessage-Format ausgetauscht, einer ASN.1-Struktur mit einem Header, einem Body (ir, cr, kur, krr, rr usw.) und einem Schutzteil (signiert oder MAC-basiert). Transportiert werden CMP-Nachrichten typischerweise über HTTP (RFC 6712), in industriellen Systemen aber auch über andere Wege.
Einsatzzweck ist insbesondere die automatisierte Maschinen-PKI in regulierten und industriellen Umgebungen, etwa in Telekommunikation, Energieversorgung, Bahn und Industrie 4.0. Anders als ACME, das stark auf Internet-Domain-Validierung optimiert ist, deckt CMP komplexe Geräte-Onboarding-Prozesse mit Pre-Shared-Keys, Vendor-Zertifikaten und Cross-Domain-Vertrauen ab.
CMPv1 wurde 1999 (RFC 2510) veröffentlicht, CMPv2 2005 (RFC 4210) und das vereinfachte Lightweight CMP Profile schließlich in RFC 9483 (2023). Letzteres wurde unter anderem auf Initiative der Industrieautomation (IEC 62351, IEC 62443) entwickelt, um CMP für Gerätehersteller praktikabler zu machen.
In Standards wie IEC 62443-3-3 und 3GPP-Spezifikationen wird CMP regelmäßig als bevorzugtes Protokoll genannt. In der Praxis kombinieren viele OEMs CMP mit privaten PKI-Lösungen, um beim Onboarding von Steuerungen, Sensoren oder 5G-Komponenten Zertifikate skalierbar zu verteilen – ein klassisches Beispiel für eine PKI jenseits des Webs.
bluehands hat eine große Expertisie mit CMP und wir waren mit unserem Kunden an Lightweight CMP Profile involviert. Wir implementieren große Sicherheitslösungen basierend auf das CMP-Protokoll.