Отзыв сертификата
Простыми словами
Сертификат может ещё не быть просрочен, но доверять его использованию уже нельзя: например, закрытый ключ оказался у постороннего. Издатель публикует сведения об отзыве, а клиент учитывает их при проверке по своей политике.
Отзыв не удаляет все копии сертификата и не меняет его старую подпись. Проверяющая система должна получить актуальные сведения о статусе. Поэтому важны распространение информации, кэширование и поведение при недоступности проверки.
Как применяется
Отзыв применяют при компрометации ключа, прекращении полномочий владельца и других предусмотренных политикой причинах. Запрос проверяют, чтобы посторонний не мог вывести из работы чужой сертификат.
В эксплуатации учитывают, какие сервисы и клиенты используют сертификат. Одновременно организуют замену, ограничивают последствия компрометации и проверяют обновление CRL или ответов OCSP. Одной записи в интерфейсе удостоверяющего центра недостаточно для подтверждения результата.
Пример применения
В тестовой корпоративной PKI моделируют утечку ключа служебного API. Ответственный сотрудник запрашивает отзыв по установленной процедуре, а сервис переводят на новую ключевую пару и сертификат.
Команда проверяет статус старого сертификата и устанавливает соединение клиентом, который должен учитывать отзыв. Старое соединение не считают автоматически прекращённым: отдельно проверяют новые подключения, кэш статуса и поведение уже открытых сессий.
Не путать с
- Истечение срокаНаступает по указанному в сертификате времени. Отзыв сообщает о досрочном прекращении допустимого использования.
- Перевыпуск сертификатаСоздаёт новый сертификат. Сам по себе перевыпуск не сообщает клиентам, что старый сертификат отозван.
- OCSPПротокол получения сведений о статусе. Он передаёт результат проверки, но не является самой процедурой принятия решения об отзыве.
Как это работает
- Подтвердить основаниеУстанавливают причину и сертификат, проверяют полномочия заявителя. При компрометации параллельно ограничивают последствия.
- Изменить статусИздатель выполняет предусмотренную процедуру отзыва и фиксирует необходимые сведения о событии.
- Распространить сведенияОбновляют используемые источники статуса. Проверяют, что CRL или OCSP отражают отзыв нужного сертификата.
- Проверить клиентовТестируют отказ при использовании старого сертификата, работу новой конфигурации и поведение при ошибке получения статуса.
Продолжить изучение
Связанные термины
Частые вопросы
Нет. Копии могут остаться у других участников. Удаление локального файла не меняет статус, который сообщает издатель.
После отзыва все подключения сразу прекращаются?Это не гарантируется. Влияют политика клиента, кэширование и уже открытые сессии. Нужны отдельные проверки и при необходимости дополнительные меры ограничения доступа.
Отзыв уничтожает скомпрометированный ключ?Нет. Он сообщает о статусе сертификата. Утёкший ключ может оставаться у атакующего, поэтому оценивают все его применения и организуют замену с учётом последствий.