Lista de revocación de certificados (CRL) verificando las mejores prácticas

3

Tengo una aplicación que usa TLS para asegurar la comunicación entre las dos partes. Los certificados involucrados tienen (Lista de revocación de certificados) puntos de distribución de CRL incluidos. El punto de distribución de CRL puede o no ser contactable.

En el caso de que el punto de distribución no sea contactable o sea muy lento, si mi aplicación se niega a realizar la conexión hasta que haya logrado recuperar la CRL o si las cosas continúan según lo normal y las acciones solo se realizan cuando se encuentra un certificado para ser revocado?

Si alguien me puede recomendar RFC o las mejores prácticas de la industria, lo apreciaré.

    
pregunta doron 24.08.2016 - 17:34
fuente

1 respuesta

4

Iría con la comprobación estricta de la revocación de certificados y rechazaré el certificado para el cual la información de revocación no está disponible.

¿Por qué? Si va a realizar acciones (rechazar la conexión) cuando se revoque el certificado, debe tener esta información (de CRL / OCSP). Si la información no está disponible, no puede determinar si el certificado se revoca o no. Desde la perspectiva de seguridad, el certificado no es válido a menos que se demuestre lo contrario. Esto significa que el certificado debe considerarse revocado a menos que al menos una fuente confiable (CRL válida y / o respuesta de OCSP) le indique que el certificado no se revoca (CRL no contiene el número de serie del sujeto en la lista de certificados revocados y / o OCSP explícitamente dice que el estado de revocación del certificado es good ).

Las reglas / algoritmos generales se describen en RFC5280 §6.3

    
respondido por el Crypt32 24.08.2016 - 21:05
fuente

Lea otras preguntas en las etiquetas