revocationlijsten

Revocationlijsten zijn lijsten die door certificaatautoriteiten (CA’s) worden gepubliceerd en waarin certificaten worden opgenomen die ongeldig zijn verklaard voordat zij hun vervaldatum bereiken. In de PKI-wereld staan deze lijsten bekend als Certificate Revocation Lists (CRL). Het doel is voorkomen dat tijdelijk misbruikte of gecompromitteerde certificaten nog vertrouwen wekken.

Een CRL bevat onder meer de serienummers van de ongeldig verklaarde certificaten, de datum waarop de intrekking heeft plaatsgevonden en vaak een reden voor intrekking. Daarnaast vermeldt de lijst de uitgever en bevat zij een handtekening van de CA ter authenticatie. CRLs worden op regelmatige tijdstippen gepubliceerd en gedistribueerd via diverse kanalen, zoals webservers, LDAP-directory’s en soms DNS.

Gebruikersapplicaties en systemen controleren certificaten door het serienummer te vergelijken met de actuele CRL of door real-time statusinformatie op te vragen via OCSP (Online Certificate Status Protocol). Als het certificaat op de lijst staat of ongeldig is verklaard, wordt het vertrouwen in het certificaat geweigerd.

Knelpunten van CRLs zijn dat ze groot kunnen worden en vaak up-to-date moeten blijven om betrouwbare verificatie te bieden. Dit kan netwerk- en opslagbelasting veroorzaken. Alternatieven en aanvullende technieken zijn onder meer OCSP, OCSP-stapling en delta-CRLs, die efficiëntere en snellere geldigheidsinformatie leveren dan een volledige lijst telkens.

Revocationlijsten zijn een essentieel onderdeel van PKI en digitaal certificaatbeheer. Ze maken deel uit van X.509-standaarden en worden gebruikt om de geldigheid van certificaten te waarborgen nadat intrekking heeft plaatsgevonden.