¿Qué es un vencimiento razonable para los certificados de autenticación de usuarios?

Los certificados de la vida real tienen un concepto claro llamado revocación . Es una forma de propagar (de manera segura) la información de que un certificado dado, aunque aparentemente sea legítimo y kosher y con todas las firmas correctas, ya no se debe confiar. Eso es una especie de funcionalidad "oops". En X.509 , esto usa Listas de revocación de certificados y OCSP .

La idea subyacente es que los contratiempos ocurren ocasionalmente, en particular claves robadas . La revocación es entonces un procedimiento de contención de daños, que se activa cuando se detecta un problema de ese tipo. La propiedad importante es que es un procedimiento manual : ocurre cuando los humanos lo deciden. Así que tiene una latencia inherente, inevitable. Por lo tanto, no es necesario que la información de revocación sea "extremadamente reciente": las CRL que se publican, por ejemplo, dos veces al día, serán suficientes, porque es ilusorio esperar un mejor tiempo de reacción ante las claves robadas.

Caducidad puede reemplazar la revocación si es lo suficientemente breve. Si los certificados son de corta duración, la revocación no es necesaria. ¿Qué tan corto es "corto"? Según el razonamiento anterior, la revocación no es necesaria si el tiempo de caducidad es más corto que el intervalo de publicación de CRL que elegiríamos, si tuviéramos que publicar CRL. Por el razonamiento anterior, 12 horas son lo suficientemente cortas.

Por lo tanto puede caducar sus certificados de autenticación después de 12 horas. Dado que los humanos duermen por la noche, realmente no se puede esperar que el robo de claves se detecte más rápido que eso.

Creo que la razón por la que esta pregunta es difícil de responder es porque es la pregunta incorrecta. No puede evaluar los tiempos de caducidad apropiados de forma aislada de la "cosa" que se protege. No hay absolutos aquí. Lo que realmente necesita determinar es cuál es el tiempo máximo de caducidad que podemos aceptar como lo suficientemente largo para lograr la máxima comodidad para el cliente, pero lo suficientemente corto para garantizar una protección aceptable. Nunca puede lograr una seguridad absoluta; lo mejor que puede hacer es encontrar el equilibrio adecuado entre hacer algo lo suficientemente seguro y asegurarse de que todavía se pueda utilizar.

Comience por considerar cuál sería el daño causado si se comprometieran los datos / cookie de la sesión. Luego considera cuán fácil y probable podría ser esto. La facilidad dependerá en gran medida de la tecnología y el medio ambiente. La probabilidad dependerá más del valor percibido para otra persona.

Una vez que tenga alguna medida de valor, facilidad y probabilidad, puede considerar primero si se requiere un esfuerzo adicional para asegurar las comunicaciones y dónde enfocar los esfuerzos. Por ejemplo, si los datos tienen un valor muy alto para otros y la probabilidad de que otros los deseen es muy alta, puede decidir que la conveniencia de un estado de sesión "Recordarme" no se puede justificar, por lo que decide simplemente no proporciona esa característica. Alternativamente, puede decidir que dado el entorno, el valor y el nivel de probabilidad, agregar información adicional a la sesión puede ser suficiente o simplemente puede decidir un período de vencimiento que se encuentre dentro de los límites aceptables por el tiempo y la facilidad con que alguien pueda obtener y use los datos de la sesión y la probabilidad de que alguien quiera hacerlo.

Me doy cuenta de que esto realmente no responde a la pregunta general de cuál es el mejor tiempo de caducidad, pero eso se debe a que esa pregunta no se puede responder ya que dependerá de la aplicación. Las cosas se hacen mucho más difíciles debido a que algunas de las medidas utilizadas, como el 'valor' y el deseo / probabilidad tienen componentes subjetivos generales. Es por eso que esto es difícil. Es mucho más fácil debatir las fortalezas / debilidades técnicas porque generalmente tienen algún grado de medición objetiva. Las dimensiones más subjetivas son más difíciles de evaluar porque requieren un conocimiento profundo de los procesos de negocios, la experiencia e incluso un poco de psicología.

El tiempo de caducidad de los certificados de autenticación de usuarios no está relacionado con el robo de certificaciones y la falsificación de identidad. Si un atacante puede robar su certificado de autenticación, significa que ya posee su PC, por lo que ya no necesita robar su certificado porque puede usar su PC para iniciar cualquier actividad y falsificar su identidad.

Por lo general, un pirata informático detectará su tráfico cifrado y no tendrá acceso a su PC, por lo que no podrá robar sus datos. Lanzará un ataque de fuerza bruta en sus datos cifrados para recuperar datos originales en tiempo real.

El tiempo de validez de su certificado debe ser menor que el tiempo de ataque o de lo contrario es inútil. por ejemplo:

• las claves de sesión tienen un tiempo de validez = un inicio de sesión
• claves simétricas, es mejor generar claves aleatorias para cada sesión
• Las claves RSA tienen un tiempo de validez = años