¿Qué es la revocación?

Lista de revocación de certificados

Lista de revocación de certificados

Fuente: ITU/T x 509 | ISO/IEC 9594-8:2001, GB/T 16264.8. -2005.

Definición: Lista de firmas que especifica un conjunto de certificados que el emisor del certificado considera no válidos. Además de las CRL ordinarias, también se definen algunos tipos de CRL especiales para cubrir las CRL en campos especiales.

Explicación: La CRL debe estar firmada por una CA. Puede utilizar la misma clave privada que emitió el certificado o puede utilizar una CRL especial para emitir la clave privada. La CRL contiene el número de serie del certificado revocado.

Revocación de certificado

Un certificado tiene una vida útil específica, pero la CA puede acortar esa vida útil mediante un proceso llamado revocación de certificado. Las CA publican listas de revocación de certificados (CRL), que enumeran los números de serie de los certificados que se consideran ya no disponibles. La vida útil especificada por una CRL suele ser mucho más corta que la vida útil especificada por un certificado. La CA también puede agregar el motivo de la revocación del certificado en la CRL. También puede agregar una fecha de inicio que se considere aplicable para este cambio de estado.

Puede especificar las siguientes situaciones como motivos de revocación de un certificado:

Fuga de claves

Fuga de CA

Cambio de afiliación

En lugar

Fin del negocio

Retención del certificado (este es el único código de motivo que le permite cambiar el estado de un certificado revocado; esto es útil si hay un problema con el estado del certificado)

La revocación de un certificado por parte de la CA significa que la CA revoca su afirmación de que se permite el uso del par de claves antes de que el certificado caduque normalmente. Una vez que caduca un certificado revocado, las entradas relacionadas en la CRL se eliminan para reducir el tamaño de la lista de CRL.

Durante la verificación de firmas, las aplicaciones pueden verificar la CRL para determinar si un certificado y un par de claves determinados aún son confiables (algunas aplicaciones usan la API de verificación de cadena de certificados de Microsoft en CryptoAPI para realizar esta tarea). Si no es confiable, la aplicación puede determinar si el motivo o la fecha de revocación tiene un impacto en el uso de dicho certificado. Si el certificado se utiliza para verificar la firma y la fecha de la firma es anterior a la fecha en que la CA revocó el certificado, la firma aún se considera válida.

Después de que la aplicación obtiene la CRL, el cliente almacena en caché la CRL y la utilizará hasta que caduque. Si una CA emite una nueva CRL, una aplicación con una CRL válida no utilizará la nueva CRL hasta que caduque la CRL propiedad de la aplicación.

Respuesta de referencia:/view/950459.htm