Quando si distribuisce un CRL su HTTP, qual è il tempo di aggiornamento ottimale? Quale logica influenza questa decisione?

Question

Quando si distribuisce un CRL su HTTP, qual è il tempo di aggiornamento ottimale? Quale logica influenza questa decisione?

#1 da (2 voti)

1

Quando si distribuisce un CRL su HTTP, qual è la cache ottimale e le impostazioni di età massima (ecc.) per questo meccanismo di distribuzione?

Informazioni correlate su una risposta diversa

Consider using HTTP instead of LDAP- Although AD DS enables publication of CRLs to all domain controllers in the forest, implement HTTP instead of LDAP for revocation information publication. Only HTTP enables the use of the ETag and Cache-Control: Max-age headers providing better support for proxies and more timely revocation information. In addition, HTTP provides better heterogeneous support as HTTP is supported by most Linux, UNIX, and network device clients.

Another reason to not use LDAP is because the revocation window to be smaller. When using AD LDAP to replicate CA information, the revocation window couldn't be less than the time for all sites in AD to get the CA update. Oftentimes this replication could take up to 8 hours... that is 8 hours until a smartcard user's access is revoked. 'Todo: the new recommended CRL refresh time is: ?????'

...

OCSP Cache duration

All OCSP actions occur over the HTTP protocol and therefore are subject to typical HTTP proxy cache rules.

Specifically the Max-age header defines the maximum time that a proxy server or client will cache a CRL or OCSP response before using a conditional GET to determine whether the object has changed. Use this information to configure the web server to set the appropriate headers. Look elsewhere on this page for AD-IIS specific commands for this.

http certificates certificate-authority certificate-revocation

posta random65537 16.11.2012 - 14:30

fonte

1 risposta

Leggi altre domande sui tag http certificates certificate-authority certificate-revocation

Proteggi display kiosk di linux Quanto è sicuro l'autenticazione del nome utente WSIT con la chiave simmetrica?

score 2 · Accepted Answer

Ho paura che la risposta sia "dipende". Quante richieste simultanee possono gestire i tuoi server? Quanto è importante per la tua organizzazione che le informazioni su un certificato revocato vengano propagate rapidamente?

Se imposti l'impostazione Max-age troppo alta, un certificato revocato sarà comunque in grado di connettersi fino all'impostazione massima. Se lo metti troppo in basso, rischi di avere troppi client che si connettono in una volta, portando i tuoi server CRL a una battuta d'arresto. Quale di questi fattori è il più importante dipende dalle priorità della tua organizzazione.

Se ad es. è necessario che la propagazione del certificato si propaghi entro 5 minuti, è necessario accertarsi che i server CRL possano gestire il carico di ogni singolo client che invia una richiesta ogni 5 minuti, il che significa stressare il test del server con una probabilità tre volte maggiore di carico assicurati che sarà in grado di gestire circostanze insolite. Se i tuoi server non sono in grado di gestire tale carico, dovrai aumentare la potenza del computer o accettare di non poter propagare i CRL così velocemente.