Elenco revoche di certificati (CRL) che controlla le migliori pratiche

Naviga le tue risposte
3

Ho un'applicazione che utilizza TLS per proteggere la comunicazione tra le due parti. I certificati coinvolti includono punti di distribuzione CRL (elenco di revoche certificati) inclusi. Il punto di distribuzione CRL può o non può essere contattato.

Nel caso in cui il punto di distribuzione non sia contattabile o sia molto lento, la mia domanda si rifiuta di effettuare la connessione fino a quando non sono riuscito a recuperare il CRL o le cose dovrebbero procedere normalmente e l'azione è eseguita solo quando viene trovato un certificato essere revocato?

Se qualcuno può indicarmi RFC o le migliori pratiche del settore in merito, lo apprezzerò.

    
posta doron 24.08.2016 - 17:34
fonte

1 risposta

4

Vorrei andare con un severo controllo di revoca dei certificati e rifiutare il certificato per il quale le informazioni di revoca non sono disponibili.

Perché? Se si intende intraprendere azioni (rifiuto della connessione) quando viene revocato il certificato, è necessario disporre di tali informazioni (da CRL / OCSP). Se le informazioni non sono disponibili, non è possibile determinare se il certificato è stato revocato o meno. Dal punto di vista della sicurezza, il certificato non è valido a meno che non sia provato il contrario. Ciò significa che il certificato deve essere considerato revocato a meno che almeno un'origine affidabile (risposta CRL e / o OCSP valida) indichi che il certificato non è stato revocato (CRL non contiene il numero di serie del soggetto nell'elenco dei certificati revocati e / o OCSP esplicitamente afferma che lo stato di revoca del certificato è good ).

Le regole generali / algoritmo sono descritte nel RFC5280 §6.3

    
risposta data 24.08.2016 - 21:05
fonte

Leggi altre domande sui tag

Come proteggere / mitigare l'attacco JTAG IntelME (CSME) tramite USB? Qual è il punto di acquisto di un Blackberry che esegue il sistema operativo Android?