Ist es möglich, ein gültiges SSL-Zertifikat zu widerrufen

Question

Unser Client fordert uns auf, eine Liste von internen Java-Projekten zu migrieren, um SSL für potenziell vertrauliche REST-Aufrufe zu verwenden. Sie planen, die Zertifikate intern zu generieren und zu signieren.

Ich bin besorgt, dass, wenn ein Zertifikat jemals kompromittiert wird, eine Anwendung möglicherweise ihr Zertifikat widerrufen möchte.

Ist es möglich, Zertifikate programmgesteuert zu widerrufen, ohne den Master zu ändern? Es scheint, als ob die Hash-Signatur erst einmal etabliert ist, es gibt keine Möglichkeit, sie zu widerrufen, aber wie machen Agenturen wie Verisign das?

Answer 1

Die Zertifikate, die als Teil ihrer Informationen wie Widerruf zu überprüfen, in der Regel einer CRL (Certificate Revocation List) oder Online-Service OCSP (Online Certificate Status Protocol)

Ein Zertifizierungsdiensteanbieter ein Zertifikat widerrufen, indem sie unter anderem in die CRL und ihr OCSP-Dienst. Wenn der Kunde will Widerruf eines Zertifikats überprüfen, die CRL herunterzuladen eine OCSP Anfrage

Um das getan zu überprüfen oder durchführt werden könnten, würden Sie brauchen: 1) einen OCSP-Service und/oder CRL 2) In der selbst erstelltes Zertifikat die URL zu OCSP/CRL. 3) Entziehen Sie Zertifikate, die diese enthalten, in der Liste Ihres Widerrufsdienstes

Zum Beispiel ist der Browser für sichere HTTPS-Websites für die Durchführung der Sperrprüfung zuständig. Deshalb jedoch Google decided in 2012 to default Chrome not to check for certificate revocation on non-EV certificates

, beachten Sie, dass die Kontrolle über den Widerruf Kundenverantwortung und könnte nicht

Answer 2

ein Zertifikat widerrufen, ohne dass die Zertifizierungsstelle zu löschen, die signiert das Zertifikat ist eine der Grundlagen der Arbeit mit Zertifikaten.

Wie oben erläutert, gibt es zwei Möglichkeiten, um zu überprüfen, ob ein Zertifikat widerrufen wird: durch Überprüfen mit einem dedizierten Server (OCSP) oder durch Überprüfen einer statischen Datei, die Sie so oft herunterladen (CRL).

Sie können einen Test-OCSP-Server einfach mit openssl einrichten. Und Sie können auch eine CRL-Datei mit openssl erzeugen. Eine CRL-Datei sieht ein bisschen wie ein Zertifikat oder eine CSR (normalerweise in der Basis 64 gehalten). Sie können hier einen Online-CRL-Decoder verwenden: http://developerutils.com/CRLDecoder.php