La revoca del certificato di D-Link ha invalidato solo un giorno (un'esposizione lunga sei mesi)?

Naviga le tue risposte
11

Sto provando a racimolare la percentuale COSP% di OCSP per il certificato di D-Link.

I hanno risposto di recente a un'altra domanda e termina la stesura di una timeline.

Questa linea temporale è fondamentalmente questa: 

Jul  5 00:00:00 2012 GMT. Validity: Not Before
Feb 27          2015      Inadvertent disclosure
--- six months of nothing ---
Sep  3 00:00:00 2015 GMT. OCSP "revocationTime" backdated to this.
--- one day of invalidity (?) ---
Sep  3 23:59:59 2015 GMT. Validity: Not After 
Sep 17          2015      Tweakers.net report 
Sep 18          2015      TheRegister.co.uk report
Sep 20 14:00    2015      Is-it-revoked-yet?-question posted.
Sep 20          2015      Answer posted. OCSP 'good'
Sep 22          2015      Update answer posted. OCSP 'revoked'

E la domanda è questa:

  • La mossa di D-Link invalida retroattivamente solo 1 giorno del possibile uso / uso improprio della propria chiave?

O chiesto in modo diverso:

  • Un EXE (ipotetico) firmato il 2 settembre con il tasto rubato ANCORA funziona, nonostante la revoca?

E come domanda laterale / di sfondo:

  • Qual è l'idea generale con revocationTime di OCSP? dovresti retrocedere al primo punto nel tempo che ritieni che la chiave sia stata compromessa? (Ho provato a fare le mie ricerche, ma sono bloccato.Non ho trovato la spiegazione nel OCSP RFC . E un post 2012 sulla mailing list PKIX di Martin Rex , non o chiarire esattamente le cose per me.)
posta StackzOfZtuff 02.10.2015 - 16:02
fonte

1 risposta

5

OCSP fornisce un meccanismo dinamico per verificare se un determinato certificato è stato compromesso o meno e, nel caso in cui sia stato compromesso, dopo quale data (e ora) le firme che utilizzano questo certificato sono considerate non sicure (in pratica, è una versione dinamica dei CRL).

Questo ha diverse conseguenze:

  • Le risposte OCSP DOVREBBERO essere retrodatate nel caso in cui indicassero uno stato "revocato". La ragione di ciò è semplice: una chiave di solito viene scoperta per essere compromessa molto tempo dopo la perdita del controllo effettivo di quella chiave. Pertanto, è logico fornire un modo per informare gli utenti di tale certificato se anche la vecchia firma debba essere considerata non valida (senza revocare TUTTE le firme).
  • Una volta che un certificato è stato revocato, NON PUO 'essere considerato nuovamente valido.

Tutto ciò è reso più complesso dal fatto che le risposte OCSP possono essere 1) memorizzate nella cache e 2) pre-prodotte. Ciò significa che, durante un periodo di tempo successivo al rilascio dello stato di revoca del certificato, è possibile che diversi client OCSP ricevano risposte diverse. Questa situazione può durare fino al raggiungimento della data indicata dal campo nextUpdate dell'ultima risposta "certificato valido".

Does D-Link's move retroactively invalidate just 1 day of possible use/misuse of their key?

No. Hanno invalidato retroattivamente il certificato a partire da 00: 00: 000 quel giorno.

Will an (hypothetical) EXE signed on Sep 2 with the stolen key STILL work, despite the revocation?

Sì perché è stato firmato prima del tempo di revoca del certificato.

Are you supposed to backdate that to the first point in time that you think the key was compromised?

Sì e no: si suppone di retrocederlo a la data in cui l'ultima chiave era sicura .

    
risposta data 05.10.2015 - 16:11
fonte

Leggi altre domande sui tag

Vantaggi per Arch Linux su Kali Linux E 'possibile decifrare la metà di un contenitore di file TrueCrypt se manca l'altra metà dei dati?