Digitala certifikat spelar en avgörande roll i webbsäkerhet och infrastruktur för allmän nyckel, vilket säkerställer säker internetkommunikation. Dessa certifikat fungerar som digitala identifieringar som verifierar en webbplats legitimitet. Tänk dig nu ett scenario där du försöker komma åt en webbplats, men utan din vetskap har certifikatet som validerar webbplatsen komprometterats. Detta misstag öppnar en bakdörr för hackare att fånga upp din känsliga information.
För att ta itu med sådana risker, varje certifikat har en begränsad giltighetsperiod under vilken den anses vara betrodd. Under denna tid kan dock situationer uppstå där ägaren eller Certifieringsmyndighet Den som utfärdade certifikatet kan deklarera det som opålitligt. Om till exempel certifikatets privata nyckel komprometteras eller om certifikatets ägare inte längre kontrollerar domänen som certifikatet utfärdades för, blir certifikatet en skuld.
I ett sådant fall återkallas det otillförlitliga certifikatet och certifikatanvändarna informeras om återkallelsen. Detta görs genom att lägga till det givna certifikatet i en Certifikatåterkallningslista (CRL)En CRL är helt enkelt en svartlista som hanteras av CA:n och som listar de certifikat som inte bör vara betrodda och inte längre är giltiga. Även om dessa CRL:er upprätthåller förtroendet för PKI infrastruktur, kan en utgången CRL innebära dolda risker och utmaningar som kan undergräva detta förtroende.
CRL:s funktion
CRL är det enda sättet för PKI att veta om ett certifikat har återkallats innan det löper ut. Även om PKI tillhandahåller en lista över betrodda användare genom utfärdade certifikat, är det också mycket viktigt att veta vilka som inte längre är pålitliga. CRL tjänar just detta syfte genom att lista de certifikat som har återkallats före utgångsdatum.
Stegen som ingår i CRL är följande:
-
Begäraninitiering
Den enhet som har utfärdat certifikatet upptäcker att certifikatet behöver återkallas, vilket kan bero på kompromettering, missbruk etc., och skickar en återkallningsbegäran till den utfärdande certifikatutfärdaren. Denna begäran innehåller vanligtvis certifikatets serienummer och orsaken till återkallelsen.
-
Process för återkallelsebegäran
Sedan verifierar CA äktheten av återkallningsbegäran, och när begäran har validerats markerar den certifikatet som återkallat i sina interna register.
-
Listuppdatering och signering
Därefter lägger CA till de återkallade certifikaten i listan och uppdaterar CRL:n. Integriteten hos den reviderade CRL:n verifieras sedan genom att CA:ns privata nyckel signerar den.
-
CRL-publikation
Den signerade CRL-filen publiceras och görs tillgänglig för allmänheten och andra enheter som förlitar sig på de certifikat som utfärdats av CA. Detta görs genom olika metoder, som publicering på en webbserver och distribution via LDAP.
-
CRL-distribution
Webbläsare och servrar verifierar certifikatens status genom att regelbundet ladda ner CRL:n från den angivna platsen.
-
CRL-användning
När en webbläsare eller server stöter på ett certifikat kontrollerar den dess serienummer mot den nedladdade CRL:n. Om certifikatet hittas i CRL:n anses det vara återkallat.
Så här visar du certifikatets återkallningsstatus
CRL:n görs tillgänglig av certifieringsutfärdaren vid en specifik distributionspunkt, även tillgänglig med certifikaten.
Om du har laddat ner det digitala certifikatet kan du öppna det, eller om det är certifikatet med en webbplats klickar du på HÄNGLÅS-ikonen bredvid URL:en och följer de angivna stegen:
- Klicka på Anslutningen är säker och sedan på knappen Certifikatet är giltigt.
- Gå till detaljavsnittet och scrolla ner till CRL-distributionspunkter (CDP).
- Du kommer att se en eller flera URL:er som pekar till den plats där CRL:erna publiceras.
- I fältet "värde", kopiera URL:en och klistra in den i sökfältet.
- Webbläsaren kommer att ladda ner CRL-filen. Du kan öppna den för att kontrollera informationen i återkallningslistan.
Risker med en utgången CRL
Säkerhetsrisker: Att acceptera ett återkallat certifikat
Om en CRL är föråldrad eller har gått ut, kanske system som förlitar sig på den inte är medvetna om de senaste uppdateringarna av återkallelserna. Detta skulle innebära att ett komprometterat eller ogiltigt certifikat kan accepteras av de system som litar på det, och det skulle leda till en sårbarhet som väntar på att utnyttjas av hackare.
Operativa risker: Service- och efterlevnadsproblem
Många applikationer och servrar är skyddade för att alltid kontrollera CRL:n innan de accepterar certifikatet. Om CRL:n har löpt ut kan dessa maskiner helt enkelt avvisa certifikaten automatiskt, vilket leder till avbrott och avbrott. Regelstandarder kräver ofta användning av en uppdaterad CRL. Bristande efterlevnad av standarderna kan leda till ekonomiska förluster för organisationen.
Risker för förtroende och intäkter
Om en server inte tillförlitligt kan verifiera statusen för ett digitalt certifikat riskerar det förtroendet för digital kommunikation och leder till intäktsförluster för organisationen, eftersom användare och system inte längre kan vara helt säkra på certifikatens integritet.
Minska riskerna med CertSecure Manager
CertSecure-hanterare erbjudanden en PKI-hälsa för att i förväg upptäcka och övervaka sådana fel. Följande är en detaljerad förklaring av hur CertSecure Manager hjälper till att lösa dessa komplikationer:
CertSecure utför en detaljerad kontroll av alla certifieringsutfärdarkomponenter och visar alla CDP och AIA, tillsammans med återstående dagar för CRL. Om ett fel upptäcks varnar lösningen automatiskt administratörerna om problemet.
- Detaljerad kontroll: CertSecure verifierar alla certifieringsutfärdarens komponenter och ger en centraliserad bild av PKI:ns hälsa.
- CDP, AIA-poäng: Den identifierar CDP- och Authority Information Access-punkter (AIA) för att lokalisera CRL.
- Återstående livslängd för CRL: Den visar den återstående livslängden innan CRL:n löper ut. Detta hjälper administratörer att uppdatera listan och minska risken för att förlita sig på föråldrad CRL.
- Automatiska varningar: CertSecure tillhandahåller en integrerad varningsmekanism för att meddela administratörer om utgångsdatum, samt incidenthantering vid fel relaterade till CRL:er.
Slutsats
Sammanfattningsvis, en CRL upprätthåller den digitala kommunikationen säker genom att omedelbart återkalla komprometterade/ogiltiga certifikat. Det är en effektiv lösning för att säkerställa förtroendet och integriteten för den övergripande webbkommunikationen. Men en utgången, offline eller felaktigt konfigurerad CRL kan leda till avbrott och driftstopp.
Att använda en CLM-lösning som CertSecure hjälper därför till att centralt övervaka digitala certifikat och CRL:er i hela organisationen. Detta skulle ytterligare bidra till att förhindra avbrott, minska driftstopp och spara pengar på potentiellt kostsamma åtgärdskostnader.
