CRL передаёт пакет записей, OCSP — состояние для конкретного CertID. В обоих случаях проверяют подлинность, область и временную применимость.
PKI и жизненный цикл сертификатов
Список отозванных сертификатов
Определение
Список отозванных сертификатов, или CRL, — подписанный издателем перечень серийных номеров отозванных сертификатов с временем публикации и сроком применимости.
Также ищут: Certificate Revocation List · CRL · X.509 revocation list
Зачем это знать
Пакет состояния полезен только для своего издателя, области и времени. Проверка подписи списка и поиск номера не отменяют проверки самого сертификата и сервиса.
Связи из словаря
Карта понятия
Список отозванных сертификатов
Доказательная часть
Что подтверждено
CRL содержит издателя, thisUpdate, nextUpdate и записи отзыва и защищён подписью. Хотя синтаксис ASN.1 помечает nextUpdate как OPTIONAL, профиль RFC 5280 требует его присутствия в CRL, выпущенном соответствующим профилю издателем.
Граница применимости: RFC 5280, раздел 5.1.2.5: различаются синтаксическая необязательность поля и обязательное требование профиля к издателю.
CRL распространяет пакетный документ о состоянии, а OCSP возвращает подписанное состояние конкретного сертификата.
Граница применимости: Различие между способами доставки CRL и OCSP.
Отсутствие серийного номера в подлинном, актуальном и применимом полном CRL означает отсутствие записи об отзыве в этом списке. Оно не заменяет проверку срока сертификата, его пути и ожидаемого имени TLS.
Граница применимости: Учебный случай полного прямого CRL для данного издателя и нужной области; не моделирует частичные, косвенные и delta CRL.
Правильная подпись CRL не делает его свежим. Проверяющая сторона учитывает thisUpdate и nextUpdate; после ожидаемого следующего выпуска старый список не становится актуальным только из-за своей подписи.
Граница применимости: Время CRL и проверка отзыва по RFC 5280; не задаёт общий срок кеширования в часах или днях.
Перед поиском номера проверяют издателя, подпись и применимость CRL к сертификату. Совпадение серийного номера в списке другого издателя само по себе не доказывает отзыв проверяемого сертификата.
Граница применимости: Полный прямой CRL по RFC 5280; косвенные и разделённые списки требуют дополнительной обработки и не входят в учебный пример.
Граница терминов
Не путать
Сведения CRL дополняют проверки сертификата. Отсутствие записи в применимом списке не исправляет просроченный путь или чужое имя сервиса.
Перед спецификацией
Что проверить
- Проверьте подпись и полномочия издателя списка.
- Сверьте применимость к сертификату.
- Учитывайте издателя вместе с номером.
- Проверьте thisUpdate и nextUpdate.
- Не смешивайте полный и частичный список.
- Отдельно проверьте путь, срок и имя TLS.
- Не превращайте отсутствие записи в полном CRL в общий вердикт допустимости сертификата.
Открытые основания
Первоисточники
- X.509 Internet Public Key Infrastructure Online Certificate Status Protocol — OCSP
Определяет signed per-certificate status responses good, revoked и unknown и их validity interval.
Утверждения: 02
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.
Утверждения: 03