Si un certificado se revoca antes de su fecha de caducidad y se agrega a una CRL, ¿se elimina de la CRL después de que expire el período de validez del certificado? RFC 5280 parece implicar esto :
Una CRL completa enumera todos los certificados no caducados , dentro de su alcance, que han sido revocados por uno de los motivos de revocación cubiertos por El alcance de la CRL. Un CRL completo y completo enumera todos los no caducados Certificados emitidos por una CA que han sido revocados por cualquier motivo. (Tenga en cuenta que dado que los emisores de CRL y CRL se identifican por su nombre, el alcance de una CRL no se ve afectada por la clave utilizada para firmar la CRL o la (s) clave (s) utilizado para firmar certificados.)
(Página 54)
El valor de reasonCode removeFromCRL (8) solo puede aparecer en CRL delta e indica que se debe eliminar un certificado de una CRL porque o bien el certificado caducó o se eliminó de la retención.
(página 69)
Sin embargo, si este es el caso, ¿cómo se resolvería esta situación de manera segura?
- Se emite un certificado
- El certificado está comprometido y revocado, agregado a la CRL
- El atacante firma algo con el certificado revocado
- El certificado expira
- El certificado se eliminó de la CRL, los clientes actualizan sus copias locales de la CRL
- Un cliente recibe los datos y la firma del atacante y los verifica.
A mi entender, una firma que se creó durante el período de validez (es decir, antes del vencimiento) del certificado seguirá siendo válida incluso después de que expire el certificado, ya que el certificado era válido en ese momento. Entonces, ¿cómo determinaría el cliente que se revocó el certificado cuando se creó la firma, si la información ya no forma parte de la CRL?
Esta pregunta se marcó como un duplicado potencial de éste . Las respuestas a esa pregunta parecen indicar que los certificados caducados no se eliminaron de los CRL. Si alguien puede aclarar la discrepancia, se lo agradecería.