[Uneex] SSL CRL
Ivan Fedorov
oxyum oxyum.ru
4 15:28:10 MSD 2009
Yuri Ryazantsev <yuri unix.ru> writes:
> Приветствую всех!
>
> Что-то тихо стало и решил оживить :-)
>
> Возник вопрос по использованию .crl - как по уму пользоваться таким
> параметром как время жизни? Как я понимаю, .crl указывает на
> отозванные сертификаты. Соответственно, время жизни - это с одной
> стороны указание, что данный список является валидным и клиенту не
> обязательно спрашивать новый список. С другой стороны (т.е. со стороны
> сервера), тот кто отдает этот .crl должен сгенерить и подписать новый.
> И как тогда этим пользоваться?
>
> Проблему я вижу в том, что если это время указывать достаточно
> большим, то не получиться эффективно отозвать "ненужный" сертификат. А
> если делать его маленьким, то значит постоянно генерить этот файл, что
> не получается (в нормальных системах) делать автоматически, т.к. .crl
> подписывается корневым сертификатом, что не является атоматизируемой
> операцией.
>
> Кто-нибудь подскажет, как это делается в нормальных CA.
В нормальных наверное через OCSP? :)
----------- -----------
Вложение не в текстовом формате было извлечено…
Имя : отсутствует
Тип : application/pgp-signature
Размер : 196 байтов
Описание: отсутствует
Url : https://imap.cs.msu.su/pipermail/uneex/attachments/20090604/15b7e148/attachment.pgp
Uneex