Поиск по двум словам. Кратко не получится.

Если очень коротко идет попытка разнести в стороны процедуры идентификации и полномочий, как следствие попытаться вынести из X.509 сертификата всякие специфические OIDы типа того что Росреестр и ниже с ним требуют. По идее это должно вылиться в то как это происходит в Беларуси (http://pki.gov.by/docs/Formats.pdf), мы опять опаздываем, хотя сами техрешения АА у нас были много ранее чем у беларусов.