¿Cuál es el beneficio de tener certificados que expiran en una fecha fija?
¿Cuál es el beneficio de tener certificados que expiran en una fecha fija?
Los certificados digitales se utilizan para verificar identidades y afiliaciones en línea. Las personas cambian de trabajo, los estudiantes se gradúan, las empresas fracasan o cambian de propietario, las claves privadas se filtran y pueden suceder muchas otras cosas que podrían hacer que un certificado en particular deje de ser una forma precisa de verificar una identidad. Los certificados caducan para que las personas que los utilizan puedan estar seguros de que la información que contiene está al menos algo actualizada.
La razón oficial por la que los certificados caducan se debe a la revocación . Un certificado se "revoca" cuando su emisor afirma que los contenidos del certificado ya no son confiables, por alguna razón que no necesita ser especificada. Es como una "cancelación" de la CA: la CA firmó el certificado, pero ahora lo lamenta.
Un motivo común de revocación es cuando se sospecha que la clave privada fue robada (por ejemplo, se perdió una tarjeta inteligente, por lo que podría estar en las manos equivocadas).
La revocación funciona agregando el número de serie del certificado en las Listas de revocación de certificados que la CA publica con regularidad. Estas CRL están firmadas (generalmente por la CA) y se supone que las personas que usan certificados (por ejemplo, navegadores web, para certificados de servidor SSL) descargan automáticamente la CRL más reciente para ver si el certificado que están a punto de usar ha sido revocado o no. / p>
Sin fechas de vencimiento, las CRL crecerían indefinidamente y se volverían demasiado voluminosas para el uso. Con el vencimiento, los certificados que están vencidos se eliminan de la CRL; en ese sentido, la revocación del certificado se comporta como un vencimiento acelerado. Así que ahí lo tienen: los certificados caducan para mantener la CRL pequeña .
(Si los certificados tuvieran una vida muy corta y se renovaran cada semana o incluso todos los días, entonces podríamos no contar con ningún soporte de revocación, lo que sería genial, pero esto requeriría algún tipo de renovación automática, lo cual su propio conjunto de posibles problemas.)
El tamaño de CRL es la razón teórica. La razón práctica es que a la CA comercial le encanta cuando los clientes tienen que comprar una renovación cada año.
También se puede hacer un argumento sobre los tamaños de clave y algoritmos. La renovación del certificado es una buena oportunidad para aplicar un nuevo algoritmo, o una clave más grande que antes. Este es un mecanismo más suave que tener que revocar certificados antiguos cuando su tamaño de clave se vuelve "demasiado pequeño para su comodidad" con respecto a los avances de criptoanálisis.
La misma razón por la que vence su permiso de conducir. Es posible que haya existido la última vez que renovó, con ese nombre, esa dirección, esa fecha de nacimiento, esa apariencia (y es posible que haya podido conducir ;-)) pero no se puede esperar que ese estado continúe sin cambios para siempre. Así que tiene una renovación. Lo mismo se aplica a un certificado digital. Identifica una entidad que existe, tiene un nombre determinado, tiene una cadena de CA que están preparadas para responder por la siguiente, etc. Nada de eso persiste para siempre.
Es solo porque las claves privadas pueden ser robadas / comprometidas con el tiempo. Por lo tanto, si alguien roba su clave (por ejemplo, un empleado travieso que está dejando la empresa), su clave robada solo tiene valor por un tiempo limitado.
Claro, puede revocar un certificado una vez que sepa que lo han robado, pero si no se da cuenta de que lo han robado, la caducidad ayuda.
HTH
Lea otras preguntas en las etiquetas certificates x.509