revokasjonstjenester

Revokasjonstjenester er tjenester som håndterer tilbakekall av digitale sertifikater og andre autentiseringsmidler i et offentlig nøkkelinfrastruktur (PKI). Formålet er å sikre at klienter og systemer ikke stoler på sertifikater som ikke lenger er gyldige på grunn av nøkkellekkasje, kompromiss, utsteder eller andre forhold. Når et sertifikat tilbakekalles, gjøres status tilgjengelig for avhengige parter.

De vanligste mekanismene er Certificate Revocation List (CRL) og Online Certificate Status Protocol (OCSP). En CRL er en liste publisert av sertifikatmyndigheten (CA) som viser sertifikater som er tilbakekalt; listen oppdateres regelmessig og kan bli stor i miljøer med mange tilbakekallinger. OCSP gjør sanntidsforespørsler til en OCSP-responder for å få status for et bestemt sertifikat. Moderne løsninger kan også bruke OCSP stapling for å redusere klientenes behov for å kontakte en separat responder, samt delta-CRLs og andre optimaliseringer.

Ved sertifikatverifisering vurderer klienter hele sertifikatkjeden og sjekker status for hvert sertifikat. Avhengighet av nettverkstilgang kan påvirke påliteligheten av tilbakekallingsdata, og ulike policyer varierer mellom soft-fail og hard-fail når status ikke kan bekreftes. Dette påvirker hvor mye man stoler på et sertifikat under ulike forhold.

Revokasjonstjenester er sentrale for tilliten til PKI, TLS og digital signering. For effektiv spredning av tilbakekallingsinformasjon brukes CDP- og AIA-pekere fra sertifikater, og i praksis har mange aktører beveget seg mot kortlevde sertifikater for å redusere avhengigheten av tilbakekallingsdata.