Preguntas con respecto a las CRL (producidas y no modificadas)

Navega tus respuestas
3

Tengo dos preguntas relacionadas con la seguridad de solicitar CRL.

  1. Mi primera pregunta es: ¿no deberían las CRL contener un campo producedAt al igual que las respuestas de OCSP? Esto aseguraría que un pirata informático no envíe una CRL antigua (pero aún no caducada) al cliente, ¿verdad? ¿Por qué no se hace esto? ¿Es porque las CRL son más grandes y firmarlas cada vez costaría demasiado tiempo? ¿O es porque las CRL se ven como archivos estáticos (lo que no sería una buena razón)?

  2. Entonces mi segunda pregunta. He visto que mi navegador solicitó una CRL con un encabezado HTTP If-Modified-Since . El servidor respondió con un código 304 - Not Modified . ¿No sería esta también una forma fácil para que los piratas informáticos retengan las actualizaciones a una CRL (siempre y cuando el antiguo siga siendo válido)?

pregunta SWdV 07.01.2016 - 22:43
fuente

1 respuesta

3
  

  1. [...] ¿es porque los CRL se ven como archivos estáticos [...]?

    2.   

  2. ¿No sería esta también una forma fácil para que los piratas informáticos retengan las actualizaciones a una CRL (siempre que la antigua aún sea válida)?

    3.   

Sí. Ambas limitaciones son conocidas. Y a partir de la forma en que leí el RFC, ambas son elecciones de diseño deliberadas.

De la RFC 5280, sección 3.3 Revocation : (énfasis mío)

  

Una ventaja de este método de revocación es que las CRL pueden ser   distribuidos por los mismos medios que los certificados,   a saber, a través de servidores no confiables y comunicaciones no confiables.

     

Una limitación del método de revocación de CRL, el uso no confiable   comunicaciones y servidores, es que la granularidad de tiempo de   la revocación se limita al período de emisión de CRL . Por ejemplo, si un   La revocación se informa ahora, esa revocación no será confiable   notificado a los sistemas que utilizan certificados hasta que se hayan emitido todos los CRL actualmente   están programados para ser actualizados - esto puede ser de hasta una hora, un día,   o una semana, dependiendo de la frecuencia con la que se emiten las CRL.

Lectura adicional

respondido por el StackzOfZtuff 08.01.2016 - 08:27
fuente

Lea otras preguntas en las etiquetas

Detectar troyanos / keylogger / virus en una red de negocios Cómo eliminar posibles archivos de virus