Отзыв — состояние сертификата, CRL — подписанный пакет сведений об этом состоянии. Доставку и применение списка проверяют отдельно.
PKI и жизненный цикл сертификатов
Отзыв сертификата
Определение
Отзыв сертификата — действие издателя, которое объявляет сертификат недействительным до окончания обычного срока действия.
Также ищут: Certificate revocation · pre-expiry invalidation · certificate status revocation
Зачем это знать
При инциденте нужно связать публикацию состояния, замену скомпрометированного ключа и прекращение доступа. Иначе отзыв останется записью, которую работающий сервис ещё не применил.
Связи из словаря
Карта понятия
Доказательная часть
Что подтверждено
PKI хранит сведения об отзыве сертификатов, которые больше нельзя считать действующими до запланированного окончания срока.
Граница применимости: Модель отзыва по RFC 5280.
Запись об отзыве у удостоверяющего центра физически не удаляет уже скопированный сертификат. Решение принимает проверяющая сторона: если её политика требует проверки отзыва, она получает состояние применимым механизмом — список отзыва, протокол OCSP, вложенный ответ или другой поддерживаемый — и отклоняет сертификат при подтверждённом отзыве.
Граница применимости: Различие между публикацией состояния издателем и решением проверяющей стороны. Обязательность самой проверки и поведение при недоступности ответа задаёт политика приложения, а не общее требование стандарта.
Публикация отзыва сообщает состояние сертификата. Она не стирает разосланные файлы и сама не отправляет команду закрыть уже работающие TLS-соединения; прекращение доступа требует исполнения политики сервисом.
Граница применимости: Разделение состояния PKIX и жизненного цикла соединения TLS 1.3; не обещает одинаковое поведение клиентов или немедленный отзыв доступа.
Отзыв сертификата не делает соответствующий закрытый ключ снова секретным. Выпуск другого сертификата на тот же скомпрометированный ключ не устраняет возможность его использования нарушителем.
Граница применимости: Сопоставление отзыва сертификатов и обработки компрометации ключей; новый ключ и его безопасное развёртывание — отдельные действия.
Недоступность службы состояния не доказывает ни отсутствие отзыва, ни сам отзыв сертификата. Клиент применяет заранее выбранную политику недоступного или устаревшего статуса, не подменяя её положительным ответом.
Граница применимости: CRL/OCSP и решение проверяющей стороны; конкретное разрешение или запрет соединения при сбое зависит от политики применения.
Граница терминов
Не путать
OCSP доставляет состояние конкретного сертификата. Текст ответа ещё нужно связать с издателем, номером, полномочиями подписанта и временем.
Перед спецификацией
Что проверить
- Зафиксируйте сертификат и причину отзыва.
- Отдельно оцените компрометацию ключа.
- Опубликуйте состояние применимым способом.
- Проверьте получение и свежесть состояния клиентом.
- Примените политику недоступного статуса.
- Определите прекращение уже работающих соединений.
- Не считайте запись об отзыве командой удаления файлов и закрытия всех соединений.
Открытые основания
Первоисточники
- X.509 Internet Public Key Infrastructure Online Certificate Status Protocol — OCSP
Определяет signed per-certificate status responses good, revoked и unknown и их validity interval.
- RFC 8446: The Transport Layer Security Protocol Version 1.3
Определяет TLS 1.3, включая encrypted channel, PSK authentication, PSK identity и PSK+(EC)DHE modes.
Утверждения: 03
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
Утверждения: 03
- Recommendation for Key Management: Part 1 — General
Определяет key-management functions, lifecycle states, cryptoperiods, protection, backup/recovery, compromise и destruction.
Утверждения: 04