Почему якорь доверия не должен быть включен в путь сертификации PKIX?

Question

В документации PKIX * ​​1002 * упоминается:

1) Сертификат, представляющий TrustAnchor не должен быть включен в путь сертификации

Мой вопрос: откуда берется это ограничение? В RFC 5280 я только нашел:

2) Сертификат НЕ ДОЛЖЕН появляться больше чем один раз в перспективе путь сертификации.

Означает ли утверждение (2) в RFC утверждение (1)? Потому что я этого не вижу.

Какая проблема возникнет при наличии привязки доверия на пути? В конце концов, сертификат ТА может подтвердить себя.

Может ли кто-нибудь объяснить это?

Answer 1

Это скорее определение, IIUC.Действительный путь сертификации определен в RFC 5280, и одно из условий заключается в том, что его первый сертификат подписан доверенным якорем (и что IssueName сертификата соответствует имени этого доверенного якоря).(Якоря доверия не должны быть сертификатами.)