Återkallelse av certifikat är processen att ogiltigförklara ett digitalt certifikat före dess schemalagda utgångsdatum, vilket gör det otillförlitligt för webbläsare och andra klienter trots att det ännu inte har löpt ut.
Återkallelse av certifikat ogiltigförklarar ett certifikat före dess naturliga utgångsdatum, vanligtvis på grund av att dess privata nyckel har komprometterats, innehavarens status har ändrats eller certifikatet har utfärdats bedrägligt. CA/Browser Forum Baseline Requirements föreskriver återkallelse inom 24 timmar efter en bekräftad nyckelkompromettering. Klienter kontrollerar återkallningsstatus via CRL:er eller OCSP innan de litar på ett certifikat.
Key Takeaways
- Nyckelkompromiss utlöser ett återkallelseskrav på 24 timmar. Baskraven för CA/Browserforum kräver återkallelse inom 24 timmar efter att en viktig kompromettering, felaktig utfärdande eller CA-kompromittering har bekräftats.
- Återkallelse är något annat än utgång. Utgång sker automatiskt enligt ett schema; återkallelse är en avsiktlig åtgärd som vidtas innan schemat slutförs, vanligtvis av en orsak.
- Tre mekanismer låter klienter kontrollera återkallningsstatus. Bas-CRL:er, Delta-CRL:er och OCSP ger alla ett sätt att bekräfta om ett certifikat fortfarande är betrott.
- Återkallningskontroll är inte helt tillförlitlig på internetnivå. Vissa webbläsare misslyckas med att öppnas vid en tidsgränsad OCSP-kontroll, vilket är en del av anledningen till att branschen också förkortar certifikatens giltighetstider.
- Ett återkallat certifikat måste ersättas, inte bara tas bort. Att återställa säker kommunikation kräver att ett nytt, giltigt certifikat utfärdas och installeras, inte bara att det gamla tas offline.
När återkallas ett certifikat?
Fyra situationer står för de flesta återkallelser av certifikat, och endast en av dem är rutinmässig.
- Komprometterad privat nyckel. Om en privat nyckel hamnar i obehöriga händer återkallar CA certifikatet för att göra nyckeln oanvändbar för vidare imitation.
- Ändring i innehavarens status. En anställd som lämnar en organisation kan till exempel göra ett certifikat de hade tillgång till otillförlitligt.
- Upptäckt av bedrägliga certifikat. CA:er övervakar aktivt misstänkta eller obehöriga certifikat och återkallar dem vid upptäckt.
- Naturlig utandning. Inte återkallelse i strikt bemärkelse, men CRL:er och OCSP kommunicerar utgången status på samma sätt som de kommunicerar återkallelsestatus.
Så här fungerar återkallelse av certifikat
Att återkalla ett certifikat kräver rätt administrativa behörigheter och en dokumenterad orsakskod.
En CA-administratör eller en delegerad certifikathanterare, som beviljats behörighet att utfärda och hantera certifikat , återkallar certifikatet via den utfärdande CA:ns konsol. Administratören väljer det berörda certifikatet, väljer en lämplig orsakskod, såsom nyckelkomprometterad eller upphörande av drift, och bekräftar återkallelsen. Enligt CA/Browser Forum Baseline Requirements måste en bekräftad nyckelkomprometterad återkallas inom 24 timmar; problem som validering av utgången domän har en 5-dagarsperiod.
Hur klienter identifierar ett återkallat certifikat
Tre mekanismer ger förlitande parter ett sätt att kontrollera om ett certifikat fortfarande är betrott.
| Mekanism | Hur det fungerar | Avvägning |
|---|---|---|
| Bas-CRL | Fullständig undertecknad lista över alla certifikat som en CA har återkallat | Växer stort med tiden; laddas ner i sin helhet |
| Delta CRL | Visar endast certifikat som har återkallats sedan den senaste bas-CRL:en | Mindre, snabbare uppdateringar mellan baspublikationer |
| OCSP | Realtidssvarstjänst efterfrågad per certifikat | Snabbare per kontroll, men vissa klienter misslyckas med att öppnas vid timeout |
Hur krypteringskonsulting hjälper
CertSecure Manager ger incidenthanterings- och PKI-team en enda konsol för att omedelbart återkalla och återutfärda certifikat, med fullständig insyn i varje certifikat i lagret så att 24-timmars återkallningsfönstret aldrig riskerar att missas. Stöds av ISO/IEC 27001:2022- och SOC 2-certifierade metoder.
Vanliga frågor om partihandel med mat och dryck
Hur snabbt måste ett komprometterat certifikat återkallas?
Baskraven för CA/Browser Forum kräver återkallelse inom 24 timmar efter en bekräftad nyckelkompromettering, felaktig utfärdande eller CA-kompromettering. Vissa andra problem, såsom validering av utgången domän, har ett längre 5-dagarsfönster, men en komprometterad nyckel faller alltid inom 24-timmarskategorin.
Vad är skillnaden mellan en bas-CRL och en delta-CRL?
En bas-CRL listar alla certifikat som en CA har återkallat och signeras som en komplett ögonblicksbild. En delta-CRL listar endast certifikat som har återkallats sedan den senaste bas- CRL :en publicerades, vilket möjliggör snabbare, mindre uppdateringar för klienter som redan har baslistan.
Upptäcker OCSP alltid ett återkallat certifikat omedelbart?
Inte alltid. OCSP frågar en svarstjänst i realtid, vilket är snabbare än att ladda ner en fullständig CRL, men vissa webbläsare misslyckas med att öppnas och fortsätter att lita på ett certifikat om OCSP-kontrollen får tidsgränsen. Denna begränsning är en del av anledningen till att branschen också går mot kortare giltighetsperioder för certifikat.
Kan ett återkallat certifikat återställas?
Nej. Återkallelsen är permanent för det certifikatet. Om det underliggande behovet av certifikatet fortfarande finns, till exempel om servern fortfarande behöver hantera HTTPS-trafik, måste innehavaren skaffa ett nytt certifikat med ett nytt nyckelpar istället för att försöka återkalla det gamla.
Återkalla och återutfärda utan fördröjning
Se CertSecure Manager i praktiken för att återkalla och återutfärda certifikat inom 24-timmarsfönstret för efterlevnad, varje gång.