Войти
В криптографии, список отзыва сертификатов (или CRL ) - это "список цифровых сертификатов, которые были отозваны выдающим центром сертификации (ЦС) до их запланированная дата истечения срока действия и больше не следует доверять ".
В RFC 5280 :
Причины для отзыва сертификата в соответствии с RFC 5280:
неуказанный(0)keyCompromise(1)cACompromise(2)affiliationChanged( 3)заменено(4)cessationOfOperation(5)certificateHold(6)removeFromCRL(8)PrivilegeWithdrawn( 9)aACompromise(10)Обратите внимание, что значение 7 не используется.
CRL создается и публикуется периодически, часто с определенным интервалом. CRL также может быть опубликован сразу после отзыва сертификата. CRL выдается органом, выдающим CRL, которым обычно является CA, который также выпустил соответствующие сертификаты, но в качестве альтернативы может быть другим доверенным органом. Все списки отзыва сертификатов имеют срок действия, в течение которого они действительны; этот период обычно составляет 24 часа или меньше. В течение срока действия CRL приложение с поддержкой PKI может обращаться к нему для проверки сертификата перед использованием.
Для предотвращения спуфинга или атак типа «отказ в обслуживании» списки отзыва сертификатов обычно содержат цифровую подпись, связанную с ЦС, которым они публикуются.. Чтобы проверить конкретный CRL, прежде чем полагаться на него, необходим сертификат соответствующего ЦС.
Сертификаты, для которых должен поддерживаться CRL, часто являются сертификатами открытых ключей X.509 / , поскольку этот формат обычно используется схемами PKI.
Даты истечения срока действия не заменяют CRL. Хотя все сертификаты с истекшим сроком действия считаются недействительными, не все сертификаты с истекшим сроком действия должны быть действительными. CRL или другие методы проверки сертификатов являются необходимой частью любой правильно работающей PKI, так как ошибки при проверке сертификатов и управлении ключами, как ожидается, будут происходить в реальных операциях.
В качестве примечательного примера сертификат для Microsoft был ошибочно выдан неизвестному лицу, которое успешно выдало себя за Microsoft перед центром сертификации, с которым был заключен контракт на поддержку ActiveX ' система сертификатов издателя (VeriSign ). Microsoft увидела необходимость внести исправления в свою подсистему криптографии, чтобы проверять статус сертификатов, прежде чем доверять им. В качестве краткосрочного исправления был выпущен патч для соответствующего программного обеспечения Microsoft (в первую очередь Windows), в котором эти два сертификата были указаны как «отозванные».
Передовой опыт требует, чтобы независимо от того, сохраняется ли статус сертификата, он должен проверяться всякий раз, когда кто-то хочет полагаться на сертификат. В противном случае отозванный сертификат может быть ошибочно принят как действительный. Это означает, что для эффективного использования PKI необходимо иметь доступ к текущим спискам отзыва сертификатов. Это требование онлайн-проверки сводит на нет одно из первоначальных основных преимуществ PKI перед протоколами симметричной криптографии, а именно то, что сертификат является «само-аутентифицирующимся». Симметричные системы, такие как Kerberos, также зависят от существования онлайн-сервисов (центр распределения ключей в случае Kerberos).
Наличие CRL подразумевает необходимость для кого-либо (или какой-либо организации) применять политику и отзывать сертификаты, которые считаются противоречащими операционной политике. Если сертификат по ошибке отозван, могут возникнуть серьезные проблемы. Поскольку на центр сертификации возложена задача обеспечить соблюдение операционной политики для выдачи сертификатов, они обычно несут ответственность за определение того, уместен ли отзыв, и когда он интерпретирует операционную политику.
Необходимость просмотра CRL (или другой службы статуса сертификата) перед принятием сертификата вызывает потенциальную атаку типа «отказ в обслуживании» против PKI. Если принятие сертификата не удается из-за отсутствия доступного действующего CRL, то никакие операции, зависящие от принятия сертификата, выполняться не могут. Эта проблема существует также для систем Kerberos, где невозможность получить текущий токен аутентификации предотвратит доступ к системе.
Альтернативой использованию списков отзыва сертификатов является протокол проверки сертификата, известный как протокол онлайн-статуса сертификата (OCSP). Основное преимущество OCSP состоит в том, что для него требуется меньшая пропускная способность сети, что позволяет проверять состояние в режиме реального времени и почти в реальном времени для больших объемов или важных операций.
Начиная с Firefox 28, Mozilla объявила, что они отказываются от CRL в пользу OCSP.
Файлы CRL могут со временем стать довольно большими, например, в правительстве США - несколько мегабайт для определенного учреждения. Поэтому были разработаны добавочные CRL, иногда называемые «дельта-списками CRL». Однако только несколько клиентов реализуют их.
Список отзыва авторитетных лиц (ARL) - это форма CRL, содержащая сертификаты, выданные центрам сертификации, наоборот в списки отзыва сертификатов, которые содержат отозванные сертификаты конечных объектов.
.
