PricingLoginStart free
Cryptology Academy · leksjon

Sertifikattilbakekalling: CRL og OCSP

Forstå hvordan kompromitterte sertifikater tilbakekalles i praksis.

Leksjon 3 av 413 trinn

Sertifikattilbakekalling: CRL og OCSP er en gratis leksjon i Cryptology Academy på CoddyKit. Dette er leksjon 3 av 4. Du kan lese hele leksjonen gratis nedenfor – og deretter øve praktisk i nettleseren med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt. Den er en del av læringsløpet i Cryptology Academy, og fremdriften din synkroniseres mellom nettet og CoddyKit-appen. Kurset i Cryptology Academy inneholder totalt 4 leksjoner.

Velkommen

Sertifikater utløper, men noen ganger blir en privat nøkkel kompromittert før utløpsdatoen. Tilbakekallingsmekanismer gjør det mulig for CA-er å kunngjøre at et sertifikat ikke lenger er pålitelig.

Hvorfor tilbakekalling er viktig

Hvis en angriper stjeler TLS-privatnøkkelen Deres, kan angriperen utgi seg for å være serveren Deres frem til sertifikatet utløper. Tilbakekalling gjør det mulig for CA-en å ugyldiggjøre sertifikatet umiddelbart.

Sertifikattilbakekallingsliste (CRL)

En CRL er en signert liste over serienumre for tilbakekalte sertifikater, publisert av CA-en. Klienter laster ned CRL-en og kontrollerer om målsertifikatets serienummer finnes i listen.

Problemer med CRL

CRL-er kan være store (millioner av tilbakekalte sertifikater for store CA-er). De lastes ned med jevne mellomrom — et sertifikat som nettopp er tilbakekalt, vises kanskje ikke i CRL-en før det har gått flere timer. Forsinkelsesvinduet er et sikkerhetshull.

OCSP: Online Certificate Status Protocol

OCSP sender en sanntidsforespørsel til en responder som drives av en CA: Forespørsel: 'Er serienummer 1234 fortsatt gyldig?' Svar: 'Good' / 'Revoked' / 'Unknown' Signert med CA-ens OCSP-signeringsnøkkel.

OCSPs personvernproblem

Hver gang De besøker et nettsted, forteller nettleseren Deres CA-ens OCSP-responder hvilket nettsted De besøker. Dette lekker nettleserhistorikken Deres til CA-er. Firefox deaktiverer OCSP for de fleste tilkoblinger.

OCSP-stapling

OCSP-stapling løser personvernproblemet: Serveren henter jevnlig sitt eget OCSP-svar og legger det ved TLS-håndtrykket. Klienten mottar svaret uten å kontakte CA-en.

OCSP Must-Staple-utvidelsen

X.509-utvidelsen OCSP Must-Staple forteller nettlesere at de skal avvise sertifikatet hvis det ikke følger med et OCSP-svar via stapling. Dette hindrer soft-fail-angrep der OCSP-kontrollen hoppes over.

Soft-fail kontra hard-fail

Soft-fail: Hvis OCSP eller CRL ikke er tilgjengelig, fortsetter tilkoblingen likevel (en sikkerhetsrisiko). Hard-fail: Hvis tilbakekallingsstatusen ikke kan bekreftes, avvises tilkoblingen. Chrome bruker soft-fail som standard.

CRLite og OneCRL

Firefox bruker CRLite: en kompakt probabilistisk datastruktur som inneholder alle tilbakekalte sertifikater og oppdateres daglig. OneCRL er en mindre liste over tilbakekalte mellomliggende sertifikater. Begge unngår OCSP-forespørsler.

Slik tilbakekaller De Deres eget sertifikat

Let's Encrypt ACME: certbot revoke --cert-path /etc/letsencrypt/live/domain/cert.pem De trenger enten den private nøkkelen eller legitimasjonen til ACME-kontoen Deres. Tilbakekallingen trer umiddelbart i kraft i OCSP-svar.

Hurtigsjekk

Hvilket problem løser OCSP-stapling sammenlignet med direkte OCSP-forespørsler?
Besvar den i den interaktive leksjonen

Oppsummering

Tilbakekalling av sertifikater er et komplekst, men avgjørende tema. Deretter skal vi opprette vår egen sertifiseringsinstans med OpenSSL.
Gratis å komme i gang

Lær deg Cryptology Academy med en AI-veileder – gratis

Skriv og kjør ekte kode i nettleseren, få umiddelbar hjelp fra en AI-veileder som er tilgjengelig døgnet rundt, og fortsett der du slapp – på nettet eller i appen.

Kurs
67
Leksjoner
261
Start læringen gratisSe hele kurset

Ofte stilte spørsmål

Er leksjonen «Sertifikattilbakekalling: CRL og OCSP» gratis?

Ja – hele teksten i «Sertifikattilbakekalling: CRL og OCSP» er gratis å lese her på nettet. For å øve interaktivt med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt, og for å låse opp resten av Cryptology Academy-kurset, kan du oppgradere til CoddyKit PRO. Kurset i Cryptology Academy inneholder totalt 4 leksjoner.

Hva lærer jeg i «Sertifikattilbakekalling: CRL og OCSP»?

Forstå hvordan kompromitterte sertifikater tilbakekalles i praksis. Du øver på Cryptology Academy med praktisk kode som du kjører direkte i nettleseren, mens en AI-veileder som er tilgjengelig døgnet rundt, svarer på spørsmålene dine mens du jobber deg gjennom leksjonen.

Trenger jeg erfaring for å begynne med Cryptology Academy?

Ingen tidligere erfaring er nødvendig. Cryptology Academy på CoddyKit er lagt opp for både nybegynnere og viderekomne, så De kan begynne her eller helt fra start og lære i Deres eget tempo. Dette er leksjon 3 av 4.

Hvor lang tid tar leksjonen «Sertifikattilbakekalling: CRL og OCSP»?

De fleste CoddyKit-leksjoner tar omtrent 5–10 minutter. Hver leksjon er kort og interaktiv, slik at De gjør jevne fremskritt og kan fortsette akkurat der De slapp – både på nettet og i appen.

Kan jeg skrive og kjøre kode i denne Cryptology Academy-leksjonen?

Ja. Alle Cryptology Academy-leksjoner har en innebygd kodeeditor, slik at De kan skrive og kjøre ekte kode direkte i nettleseren og få umiddelbar tilbakemelding fra AI – uten lokal konfigurering.

Alle leksjonene i dette kurset

  1. Hva er et sertifikat? X.509-struktur
  2. Sertifikatutstedere og tillitskjeder
  3. Sertifikattilbakekalling: CRL og OCSP
  4. Opprette selvsignerte sertifikater med OpenSSL
← Tilbake til Cryptology Academy