Online Certificate Status Protocol (OCSP) vs. Zertifikatsperrlisten (CRLs)

Einführung

Jedes öffentlich vertrauenswürdige TLS-Zertifikat beinhaltet ein Versprechen: Sollte es kompromittiert werden, verloren gehen oder irrtümlich ausgestellt werden, kann es vor seinem geplanten Ablaufdatum widerrufen werden. Online Certificate Status Protocol (OCSP) und Certificate Revocation Lists (CRLs) sind die beiden Mechanismen, die dieses Versprechen durchsetzen. Die Wahl zwischen ihnen hat sich in den letzten zwei Jahren deutlich verändert. Dieser Leitfaden erläutert die Funktionsweise beider Methoden, die Gründe für die geänderte Branchenempfehlung seit der ersten Veröffentlichung dieses Vergleichs und wie Sie entscheiden, welcher Ansatz für Ihre jeweilige Umgebung am besten geeignet ist.

Kurz gesagt: OCSP vs. CRL

OCSP und CRLs dienen beide dazu, vor Ablauf eines Zertifikats zu prüfen, ob dieses widerrufen wurde. OCSP fragt den Responder einer Zertifizierungsstelle (CA) in Echtzeit nach dem Status eines bestimmten Zertifikats ab und gibt „gültig“, „widerrufen“ oder „unbekannt“ zurück. Eine CRL ist eine signierte, herunterladbare Liste aller von einer CA widerrufenen Zertifikate. Ein Client kann diese Liste lokal abrufen, ohne die CA bei jeder Abfrage direkt kontaktieren zu müssen.

Kurzzusammenfassung: Was hat sich seit der ersten Erstellung dieses Vergleichs geändert?

• OCSP prüft den Status eines einzelnen Zertifikats in Echtzeit; eine CRL ist eine vollständige Liste, die ein Client herunterlädt und lokal überprüft.
• Let's Encrypt, die Zertifizierungsstelle hinter etwa der Hälfte aller TLS-Zertifikate im Web, hat ihre OCSP-Responder am 6. August 2025 vollständig abgeschaltet und ist vollständig auf CRLs umgestiegen.
• Der Hauptantrieb war nicht die Leistung, sondern der Datenschutz: Jede OCSP-Anfrage teilt der Zertifizierungsstelle in Echtzeit mit, welche IP-Adresse die Website welches Zertifikats besucht.
• Kürzere Gültigkeitsdauern von Zertifikaten gemäß dem neuen Gültigkeitsplan des CA/Browser-Forums verringern zwar den Zeitraum, in dem die Überprüfung des Zertifikatswiderrufs relevant ist, beseitigen ihn aber nicht.
• Die richtige Wahl hängt immer noch davon ab, wer die Kontrolle über die beiden Enden der Verbindung hat: Eine öffentliche Zertifizierungsstelle, die beliebige Browser bedient, hat andere Einschränkungen als eine interne Active Directory Certificate Services (AD CS)-Bereitstellung, die bekannte Clients bedient.

Warum dieser Vergleich im Jahr 2026 anders aussieht

Das deutlichste Signal für den Themenwechsel kam von Let's Encrypt selbst. In einer Ankündigung vom Dezember 2024 legte die gemeinnützige Zertifizierungsstelle (CA) die schrittweise Abschaffung von OCSP fest: Neue OCSP-Must-Staple-Anfragen werden ab dem 30. Januar 2025 nicht mehr bearbeitet, OCSP-URLs werden bis zum 7. Mai 2025 aus neu ausgestellten Zertifikaten entfernt, und die OCSP-Responder werden am 6. August 2025 vollständig abgeschaltet. Let's Encrypt begründete dies unmissverständlich mit den Datenschutzrisiken von OCSP: Eine CA, die OCSP-Anfragen beantwortet, erfährt in Echtzeit, welche IP-Adressen welche Websites ihrer Zertifikatsinhaber besuchen – Informationen, die sie unter Umständen speichern oder offenlegen muss. CRLs hingegen werden gesammelt heruntergeladen und lokal geprüft, sodass die CA niemals eine Anfrage pro Besuch erhält.

Die am 2. Juli 2025 veröffentlichte DigiCert Trust Pulse Survey ergab, dass fast die Hälfte aller Unternehmen im vergangenen Jahr einen Zertifikatsausfall erlitten hat. 37.5 % dieser Vorfälle waren auf abgelaufene Zertifikate zurückzuführen, und 18.5 % der betroffenen Unternehmen meldeten Verluste von über 250,000 US-Dollar. Eine langsame oder unzuverlässige Überprüfung der Zertifikatssperrung, sei es durch einen überlasteten OCSP-Responder oder einen veralteten CRL-Cache, verschärft genau dieses Ausfallrisiko und beeinträchtigt nicht nur die Sicherheitslage.

Die Gültigkeitsdauer von Zertifikaten verkürzt sich, während sich gleichzeitig die Widerrufspraxis ändert. Gemäß der CA/Browser Forum-Abstimmung SC-081v3 , die am 11. April 2025 verabschiedet wurde, sinkt die Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate ab dem 15. März 2026 von 398 auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 auf 47 Tage. Ein Zertifikat mit einer Gültigkeitsdauer von 47 Tagen hat schlichtweg ein kleineres Zeitfenster, in dem ein Widerruf überhaupt relevant ist. Dies ist mit ein Grund dafür, dass einige Zertifizierungsstellen (CAs) CRLs mittlerweile als ausreichend betrachten, anstatt OCSP zusätzlich zu implementieren.

Längerfristig hat das NIST am 13. August 2024 seine Post-Quanten-Kryptographiestandards FIPS 203, 204 und 205 finalisiert. Weder OCSP-Antworten noch CRLs werden heute üblicherweise mit Post-Quanten-Algorithmen signiert, aber da Zertifizierungsstellen eine kryptoagile Signaturinfrastruktur planen, sind Widerrufsdaten ein weiteres Artefakt, das schließlich zusammen mit den von ihnen beschriebenen Zertifikaten einen Migrationspfad benötigen wird.

Was ist OCSP?

Das Online Certificate Status Protocol (OCSP) ist ein Internetprotokoll, das es einem Client ermöglicht, den Responder einer Zertifizierungsstelle zu fragen, ob ein bestimmtes Zertifikat noch gültig ist, ohne eine vollständige Liste aller von der Zertifizierungsstelle widerrufenen Zertifikate herunterladen zu müssen.

Wie eine OCSP-Anfrage und -Antwort funktionieren

Ein OCSP-Client sendet eine Statusanfrage an einen OCSP-Responder und wartet auf eine signierte Antwort, bevor er fortfährt. Die Anfrage enthält die Protokollversion, den angeforderten Diensttyp, eine Kennung für das Zielzertifikat und optionale Erweiterungen. Der Responder prüft, ob die Nachricht wohlgeformt ist, ob er für die betreffende Zertifizierungsstelle konfiguriert ist und ob die Anfrage alle benötigten Informationen enthält. Anschließend sendet er entweder eine positive Antwort oder eine Fehlermeldung zurück.

Eine grundlegende OCSP-Antwort enthält die Version der Antwortsyntax, eine Kennung des Antwortenden, den Zeitpunkt der Antwortgenerierung, den Status jedes angeforderten Zertifikats, optionale Erweiterungen, die Objektkennung (OID) des Signaturalgorithmus und eine Signatur, die auf einem Hash der Antwort basiert, damit der Client überprüfen kann, ob sie unverändert von der Zertifizierungsstelle (CA) stammt. Drei Statuswerte sind möglich: „Gültig“ (das Zertifikat ist dem Antwortenden bekannt), „Widerrufen“ (das Zertifikat wurde explizit widerrufen oder die CA hat keine Aufzeichnungen über dessen Ausstellung) und „Unbekannt“ (der Antwortende kennt den Aussteller dieses Zertifikats nicht).

OCSP-Heften

OCSP Stapling behebt die größte Schwäche von OCSP direkt: Anstatt dass der Client die Zertifizierungsstelle (CA) kontaktiert, ruft der Webserver selbst regelmäßig eine signierte und mit einem Zeitstempel versehene OCSP-Antwort ab und fügt diese dem TLS-Handshake hinzu. Dadurch erhalten Besucher den Widerrufsstatus, ohne die CA kontaktieren zu müssen. Dies eliminiert den zusätzlichen Roundtrip und das Datenschutzrisiko einer CA-Abfrage pro Besucher, da die CA nur die regelmäßigen Aktualisierungsanfragen des Webservers und nicht die Anfragen jedes einzelnen Besuchers sieht. Stapling ist jedoch noch nicht flächendeckend implementiert und beseitigt nicht die übrigen Betriebskosten von OCSP; eine CA muss weiterhin eine Responder-Infrastruktur betreiben, die den Aktualisierungsverkehr in großem Umfang verarbeiten kann.

Was ist eine Zertifikatssperrliste (CRL)?

Eine Zertifikatssperrliste (CRL) ist eine von der ausstellenden Zertifizierungsstelle veröffentlichte, signierte Liste aller Zertifikate, die vor ihrem planmäßigen Ablaufdatum widerrufen wurden und daher nicht mehr als vertrauenswürdig gelten. Clients rufen die CRL von einem CRL-Verteilungspunkt ab, einer X.509v3-Zertifikatserweiterung, die auf einen HTTP- oder LDAP-Speicherort verweist, und prüfen lokal, ob das zu validierende Zertifikat in der Liste enthalten ist.

Widerrufte vs. aufrechterhaltene Staaten

Ein CRL-Eintrag kann zwei Zustände widerspiegeln. Ein widerrufenes Zertifikat wird unwiderruflich entfernt, typischerweise aufgrund eines Schlüsselkompromittierungsfalls, einer Kompromittierung der Zertifizierungsstelle, eines Wechsels der Zugehörigkeit oder eines anderen in den X.509-Widerrufsgrundcodes definierten Grundes; es kann nicht wiederhergestellt werden. Ein gesperrtes Zertifikat wird vorübergehend ausgesetzt, nicht dauerhaft widerrufen. Wenn beispielsweise ein als verloren geglaubter privater Schlüssel wieder auftaucht, kann das Zertifikat freigegeben und wieder gültig werden. Dies ist ein wesentlicher Unterschied zu einem unwiderruflichen Widerruf.

Wie die CRL-Verteilung in der Praxis funktioniert

Eine Zertifikatssperrliste (CRL) funktioniert ähnlich wie eine Blacklist. Ein Client ruft die aktuelle CRL vom veröffentlichten Verteilungspunkt der Zertifizierungsstelle (CA) ab und prüft, ob das betreffende Zertifikat darin enthalten ist. Da die vollständige Liste heruntergeladen und analysiert werden muss, kann eine große CRL deutlich mehr Client- und Netzwerkressourcen beanspruchen als eine einzelne OCSP-Abfrage. Die Veröffentlichung einer neuen CRL nach einer erneuten Sperrung ist in der Regel langsamer, als ein OCSP-Responder in Echtzeit antworten kann. Die meisten TLS-Protokollstapel sind zudem so konfiguriert, dass sie bei Nichtverfügbarkeit die Verbindung offen halten: Kann ein Client die CRL gar nicht herunterladen, vertraut er standardmäßig dem Zertifikat, anstatt die Verbindung zu blockieren. Dies ist ein bekannter Kompromiss und kein Fehler.

OCSP vs. CRL: Direkter Vergleich

Faktor	OCSP	CRL
Was wird geprüft	Status eines bestimmten Zertifikats pro Anfrage	Vollständige Liste aller von der Zertifizierungsstelle widerrufenen Zertifikate
Wo die Überprüfung stattfindet	Der Client fragt den OCSP-Responder der Zertifizierungsstelle direkt an, es sei denn, die Anfrage ist festgeheftet.	Der Client lädt die Liste einmal herunter und prüft sie lokal.
Offenlegung der Privatsphäre	Die Zertifizierungsstelle sieht die IP-Adresse jedes Clients und welches Zertifikat sie überprüft, es sei denn, es ist fest verbunden.	CA sieht keine individuellen Anfragen pro Besuch.
Netzwerk- und Clientlast	Geringer Aufwand pro Anfrage, aber die Antwortserver müssen ein hohes Anfragevolumen bewältigen.	Der Download großer Listen widerrufener Zertifikate kann aufwendig sein.
Ausfallverhalten	Ein Ausfall des Antwortservers kann die Validierung je nach Clientkonfiguration blockieren oder stillschweigend überspringen.	Fehlt die CRL, schlägt dies in der Regel fehl, da standardmäßig davon ausgegangen wird, dass dem Zertifikat vertraut wird.
Branchenausrichtung 2026	Wird von großen Zertifizierungsstellen, darunter Let's Encrypt, ab dem 6. August 2025 schrittweise abgeschafft.	Wird zunehmend als primärer oder einziger Widerrufsmechanismus eingesetzt, manchmal in Verbindung mit kurzlebigen Zertifikaten.

Entscheidungsmatrix: Auswahl einer Strategie zur Widerrufsprüfung

Luftüberwachung	Auswirkungen auf die Sicherheit	Operativer Aufwand	Automatisierungsanpassung	Empfohlener Eigentümer
Öffentlich zugängliche TLS-Zertifikate einer öffentlichen Zertifizierungsstelle	Mittlere, kürzere Gültigkeitszeiträume verringern das Expositionsfenster	Niedrig, die meisten öffentlichen CAs verwalten dies mittlerweile zentral.	Hoch, größtenteils von CA verwaltet	Plattformteams
Internes AD CS oder privates PKI zur Bedienung bekannter Clients	Im schlimmsten Fall kann ein kompromittiertes internes Zertifikat die Authentifizierung umfassend beeinträchtigen.	Mittel, erfordert die Ausführung und Skalierung einer Online-Responder-Rolle	Mittelmäßig, erfordert Konfiguration, ist aber nach der Feinabstimmung stabil.	PKI-Administratoren
Flotten von Nicht-Browser- oder IoT-Geräten	Mittel bis hoch, hängt davon ab, wie die Geräte authentifiziert werden.	Mittelgroße CRL-Verteilung erfordert Planung	Mittlere, zeitgesteuerte CRL-Abfrage ist im Allgemeinen einfacher als OCSP für ressourcenbeschränkte Geräte.	Plattformteams
Hochsicherheitsumgebungen, die nahezu sofortige Widerrufsprüfungen erfordern	Hoch, Verzögerung bei der Weitergabe von Widerrufsrechten stellt selbst ein Risiko dar.	Hoch, benötigt OCSP-Stapling plus einen CRL-Fallback-Pfad	Mittel erfordert, dass beide Mechanismen korrekt konfiguriert sind.	Sicherheitsarchitekten
Ältere oder eingeschränkte Clients ohne OCSP-Stapling-Unterstützung	Medium	Niedrige Werte, CRL-Prüfung wird weitgehend ohne spezielle Konfiguration unterstützt.	Hoch, CRLs funktionieren als universeller Ausweichwert	Compliance- und Plattformteams

Wahl zwischen OCSP und CRL

Es gibt keine allgemeingültige Antwort, aber die Entscheidung hängt in der Regel davon ab, wer die beiden Enden der Verbindung kontrolliert, wie empfindlich der Zeitpunkt des Widerrufs ist und was die Client-Population tatsächlich unterstützen kann.

Ein schneller Entscheidungsleitfaden

1. Wenn sowohl jeder Client als auch die Zertifizierungsstelle OCSP Stapling unterstützen, sollte Stapling als primärer Mechanismus verwendet werden, wobei eine CRL als dokumentierter Ausweichmechanismus für Clients dient, die OCSP Stapling nicht unterstützen.
2. Wenn die Minimierung dessen, was die Zertifizierungsstelle über das Besucherverhalten beobachten kann, Priorität hat, sollten CRLs bevorzugt werden, oder kurzlebige Zertifikate sollten mit CRLs kombiniert werden, damit das Expositionsfenster auch ohne Echtzeitprüfung klein bleibt.
3. Wenn die Client-Population auch Nicht-Browser-Software, IoT-Geräte oder Netzwerkgeräte umfasst, die kein Stapling implementieren können, sind CRLs in der Regel der einfachere und universeller unterstützte Weg.
4. Wenn es sich um eine interne AD CS-Bereitstellung oder eine private PKI handelt, bei der die Organisation sowohl die Zertifizierungsstelle als auch jeden Client kontrolliert, bleibt OCSP mit einer angemessen skalierten Online-Responder-Rolle eine praktikable Option, da die Bedenken hinsichtlich des Datenschutzes, die Let's Encrypt zu seiner Entscheidung veranlassten, hauptsächlich für öffentliche Zertifizierungsstellen gelten, die unbekannte Clients bedienen.

Vor- und Nachteile auf einen Blick

• Vorteile von OCSP: Es wird nur das betreffende Zertifikat geprüft, nicht eine ganze Liste, und es wird eine Echtzeitantwort zurückgegeben, wenn der Responder fehlerfrei funktioniert.
• Nachteile von OCSP: Besucher-IP-Adressen und Website-Besuche werden der Zertifizierungsstelle offengelegt, sofern sie nicht fest verbunden sind, und Ausfälle von Antwortdiensten wurden in der Vergangenheit von Kunde zu Kunde uneinheitlich behandelt.
• Vorteile von CRL: keine Abfrage der Zertifizierungsstelle pro Besuch, funktioniert überall als zuverlässiger Ausweichmechanismus und ist mittlerweile der primäre oder einzige Mechanismus bei Zertifizierungsstellen der Größe von Let's Encrypt.
• Nachteile von CRLs: Die Downloads der vollständigen Liste können für eine Zertifizierungsstelle mit vielen Widerrufen sehr groß sein, und Verzögerungen bei der Veröffentlichung bedeuten, dass ein sehr aktueller Widerruf möglicherweise nicht sofort angezeigt wird.

Wen sollte das interessieren?

Die Abkehr von OCSP bei großen öffentlichen CAs verändert konkrete operative Entscheidungen für verschiedene Funktionen.

PKI-Administratoren

Konfigurieren und pflegen Sie die Online-Responder oder CRL-Verteilungspunkte, von denen Ihre Zertifizierungsstelle tatsächlich abhängt. Maßnahmen: Prüfen Sie, welche Ihrer Zertifikate noch auf OCSP-URLs einer Zertifizierungsstelle verweisen, deren Dienst inzwischen eingestellt wurde, und vergewissern Sie sich, dass die CRL-Verteilungspunkte erreichbar und aktuell sind.

Sicherheitsarchitekten

Legen Sie die Vorgehensweise zur Überprüfung von Widerrufen für Hochsicherheitssysteme fest. Maßnahmenpunkt: Dokumentieren Sie einen Ausweichpfad für alle Systeme, die weiterhin von der Verfügbarkeit von OCSP ausgehen, da bei einigen öffentlichen Zertifizierungsstellen keine Responder mehr existieren.

Plattformteams

Eigene Clientkonfiguration auf Servern, Load Balancern und Geräteflotten. Maßnahmenpunkt: Sicherstellen, dass TLS-Terminierungspunkte, die OCSP-Stapling-Antworten erwarten, einen CRL-Fallback konfiguriert haben und nicht stillschweigend fehlschlagen.

Compliance-Teams

Bestätigen Sie, dass die Nachweise für die Widerrufsprüfung weiterhin der tatsächlichen Validierung von Zertifikaten im Produktivbetrieb entsprechen. Maßnahmenpunkt: Aktualisieren Sie die Prüfdokumentation, die OCSP weiterhin als Standardmechanismus angibt, falls die zuständige Zertifizierungsstelle auf CRLs umgestellt hat.

CISOS

Wägen Sie die Vor- und Nachteile der Widerrufsprüfung hinsichtlich Datenschutz und Zuverlässigkeit im Rahmen der Gesamtstrategie für den Zertifikatslebenszyklus ab. Handlungsempfehlung: Prüfen Sie, ob kürzere Zertifikatslebensdauern gemäß dem Zeitplan des CA/Browser-Forums den Investitionsbedarf des Unternehmens in eine Echtzeit-Widerrufsinfrastruktur im Vergleich zur CRL-basierten Prüfung beeinflussen.

Unsere Einschätzung: Wie Verschlüsselungsberatung die Zertifikatssperrung und das Lebenszyklusmanagement unterstützt

Unabhängig davon, ob eine Umgebung auf OCSP, CRLs oder eine Mischung aus beidem setzt, ist die grundlegende Anforderung dieselbe: zu wissen, welche Zertifikate existieren, wie sie validiert werden und ob dieser Validierungspfad noch der aktuellen Arbeitsweise der ausstellenden Zertifizierungsstelle entspricht.

Unsere CertSecure Manager- Plattform bietet Teams eine vollständige Bestandsaufnahme der Maschinenidentitäten und die Erkennung von Zertifikaten in ihrer gesamten Umgebung. So werden Änderungen auf CA-Ebene, wie beispielsweise die Abschaltung von OCSP durch Let's Encrypt, nicht zu unerwarteten Ausfällen. Für Teams, die abwägen, ob sie die Sperrinfrastruktur weiterhin intern verwalten möchten, bietet unsere PKI-as-a-Service- Plattform die Möglichkeit, die CA-Hierarchie inklusive der Veröffentlichung von Sperrvermerken auf FIPS 140-3 Level 3 HSM-gestützten Schlüsseln auszuführen, während Ihr Unternehmen Eigentum und Kontrolle behält. Weitere Informationen zu den Sperrmechanismen finden Sie in unseren Leitfäden zur OCSP Magic Number , einem Windows-spezifischen Schwellenwert, der im Hintergrund von OCSP auf CRL-Prüfung umschaltet, und zu CRL-Grundcodes . Diese erläutern die praktische Bedeutung der einzelnen Sperrcodes. Im Bereich der Krypto-Agilität helfen unser PQC Center of Excellence und unsere PQC Readiness Assessment Teams bei der Planung für eine Zukunft, in der Widerrufsdaten selbst eine postquantensichere Signatur erfordern. Unsere CBOM Secure Plattform zur kryptografischen Erkennung und Inventarisierung gibt Sicherheitsarchitekten Einblick in genau die Zertifikate in einer Umgebung, die noch von einem veralteten OCSP-Responder abhängig sind.

Fazit

OCSP und CRLs lösen dasselbe Problem – die Bestätigung, dass ein Zertifikat nicht widerrufen wurde – und zwar durch unterschiedliche Kompromisse zwischen Echtzeitgenauigkeit, Datenschutz und einfacher Bedienung. Was sich seit dem ersten sinnvollen Vergleich grundlegend geändert hat, ist die branchenweite Standardantwort: Let's Encrypts vollständige Abschaltung von OCSP am 6. August 2025 zeigt, dass CRLs, einst als die ältere und ressourcenintensivere Option angesehen, heute der primäre Mechanismus auf CA-Ebene sind und mehr Zertifikate ausstellen als jeder andere. Teams, die immer noch davon ausgehen, dass OCSP flächendeckend verfügbar ist, oder die nicht geprüft haben, ob ihre CA dem Beispiel von Let's Encrypt gefolgt ist, sollten dies als längst überfällige Konfigurationsprüfung und nicht als unumstößliche Annahme betrachten.

Häufig gestellte Fragen

Was ist der wichtigste Unterschied zwischen dem Online Certificate Status Protocol (OCSP) und Certificate Revocation Lists (CRLs)?

OCSP prüft den Status eines einzelnen Zertifikats in Echtzeit, gibt aber die Besucheraktivitäten an die Zertifizierungsstelle weiter, sofern diese nicht gesichert sind. CRLs hingegen sind eine herunterladbare Liste, die lokal geprüft wird. Große Zertifizierungsstellen, darunter Let's Encrypt (Stand: 6. August 2025), haben von OCSP auf CRLs als primären Mechanismus umgestellt.

Warum ist das für PKI-Teams in Unternehmen wichtig?

Konfigurationen und Prüfdokumentationen, die zu einer Zeit erstellt wurden, als OCSP die Standardannahme war, entsprechen möglicherweise nicht mehr der Art und Weise, wie eine bestimmte Zertifizierungsstelle heute Zertifikate validiert, was zu stillen Lücken bei der Widerrufsprüfung führen kann.

Welche Risiken erhöhen sich, wenn die Widerrufsprüfung manuell durchgeführt oder nicht überprüft wird?

Es kann vorkommen, dass Systeme stillschweigend Zertifikaten vertrauen, die eigentlich abgelehnt werden sollten, entweder weil ein OCSP-Responder, von dem sie abhängen, abgeschaltet wurde oder weil ein veralteter CRL-Cache nie aktualisiert wird, und niemand bemerkt dies, bis ein Vorfall eintritt.

Welche Teams sollten diese Entscheidung treffen?

Die PKI-Administratoren sind für die Konfiguration des Responders und des Verteilungspunkts verantwortlich, die Sicherheitsarchitekten legen die Überprüfungsstrategie für sensible Systeme fest, die Plattformteams sind für die clientseitige Konfiguration zuständig, die Compliance-Abteilung überprüft, ob die Dokumentation der Realität entspricht, und der CISO wägt den Gesamtkonflikt zwischen Datenschutz und Zuverlässigkeit ab.

Wie hängt das mit dem Zertifikatslebenszyklusmanagement zusammen?

Die Überprüfung des Zertifikatswiderrufs ist neben Ausstellung, Verlängerung und Ablauf ein Bestandteil des Zertifikatslebenszyklus. Tools für das Zertifikatslebenszyklusmanagement, die eine vollständige Erkennung und Bestandsaufnahme ermöglichen, machen es möglich, vor einer Änderung der Infrastruktur einer Zertifizierungsstelle festzustellen, welche Zertifikate von welchem ​​Widerrufsmechanismus abhängen.

Wie können Organisationen messen, ob ihre Strategie zur Überprüfung von Widerrufen funktioniert?

Prüfen Sie, ob Zertifikate noch auf OCSP-URLs einer Zertifizierungsstelle verweisen, die den Dienst eingestellt hat, bestätigen Sie, dass CRL-Verteilungspunkte aufgelöst werden und aktuell sind, und überwachen Sie Ausfälle, die mit fehlgeschlagenen oder langsamen Widerrufsprüfungen zusammenhängen, anstatt nur den Ablauf von Zertifikaten zu verfolgen.

Was sollte regelmäßig geprüft oder überwacht werden?

Prüfen Sie regelmäßig, welchen Widerrufsmechanismus jede ausstellende Zertifizierungsstelle tatsächlich unterstützt, vergewissern Sie sich, dass OCSP Stapling funktioniert, sofern konfiguriert, prüfen Sie, ob die CRL-Abrufintervalle für die Zertifikatspopulation angemessen sind, und überprüfen Sie die Annahmen jedes Mal, wenn eine Zertifizierungsstelle eine Infrastrukturänderung veröffentlicht.

Welche Auswirkungen hat dieses Thema auf Cloud-, Hybrid- oder Multi-CA-PKI-Umgebungen?

Eine Umgebung, die eine öffentliche Zertifizierungsstelle wie Let's Encrypt mit einer internen AD CS-Hierarchie oder einer Cloud-nativen Zertifizierungsstelle mischt, benötigt möglicherweise unterschiedliche Widerrufsstrategien für jede einzelne, da der Übergang einer öffentlichen Zertifizierungsstelle zu CRLs nicht die gleiche Änderung für eine interne PKI erfordert oder impliziert, die eine bekannte Clientpopulation bedient.

Welche häufigen Fehler sollten Teams vermeiden?

Zu den häufigsten Fehlern gehören die Annahme, OCSP sei universell verfügbar, ohne zu prüfen, ob die ausstellende Zertifizierungsstelle noch einen Responder betreibt, die Behandlung des Fail-Open-Verhaltens einer fehlenden CRL als Fehler anstatt als bekannten Kompromiss im Design sowie das Versäumnis, die Widerrufskonfiguration nach der ersten Bereitstellung erneut zu überprüfen.

Was sollte im Rahmen einer Strategie zur Überprüfung von Widerrufen vierteljährlich aktualisiert werden?

Prüfen Sie, ob eine ausstellende Zertifizierungsstelle Änderungen an ihrer OCSP- oder CRL-Infrastruktur angekündigt hat, vergewissern Sie sich, dass die Zertifikatsbestände aktualisiert sind, überprüfen Sie den vom CA/Browser Forum veröffentlichten Gültigkeitsplan auf Änderungen und prüfen Sie, ob kürzere Zertifikatslebensdauern den praktischen Bedarf an Echtzeit-Widerrufsprüfungen in einer gegebenen Umgebung verringert haben.