Återkallelse av digitalt certifikat

Vad är återkallande av digitala certifikat?

Återkallelse av digitala certifikat är processen att ogiltigförklara ett digitalt certifikat före dess naturliga utgångsdatum. Detta görs vanligtvis när certifikatet inte längre kan lita på att tillhandahålla säker kommunikation.

Varför det spelar roll: Återkallelse hjälper till att upprätthålla den övergripande säkerheten PKI ekosystem genom att säkerställa att komprometterade eller föråldrade certifikat inte används för säker kommunikation.

Varför återkalla ett certifikat?

Det finns flera anledningar till att ett certifikat kan behöva återkallas:

1. Intrång i privat nyckel: Om den privata nyckeln som är kopplad till certifikatet har stulits eller nåtts av obehöriga parter, måste certifikatet återkallas omedelbart för att förhindra potentiellt missbruk.
2. Ändring av certifikatinformation: Om det finns betydande förändringar av informationen i certifikatet (t.ex. byte av företagsnamn, byte av domännamn) ska certifikatet återkallas och ett nytt utfärdas med den uppdaterade informationen.
3. Upphörande av verksamheten: Om organisationen eller enheten som äger certifikatet upphör med sin verksamhet eller inte längre kräver certifikatet, bör det återkallas.
4. Ersätts av ett nytt certifikat: I vissa fall kan ett nytt certifikat utfärdas för att ersätta ett befintligt innan dess utgång. Det gamla certifikatet bör återkallas för att upprätthålla tydlighet och förhindra potentiella konflikter.
5. Felutgivning: Om ett certifikat utfärdades av misstag eller utan korrekt validering, bör det återkallas för att upprätthålla integriteten för CA:s verksamhet.

Exempel scenario: Ett företag upptäcker att en anställd med tillgång till sin privata nyckel har lämnat organisationen under ogynnsamma omständigheter. För att säkerställa säkerheten för sin kommunikation bör de omedelbart återkalla det aktuella certifikatet och utfärda ett nytt med en ny privat nyckel.

Hur kontrollerar man om ett certifikat är återkallat?

Det finns två primära metoder för att kontrollera ett certifikats återkallelsestatus:

1. Lista över återkallade certifikat (CRL):

• En CRL är en lista över återkallade certifikat som underhålls av certifikatutfärdaren (CA).
• Klienter laddar ner CRL regelbundet och kontrollerar den mot certifikatet i fråga.
• Fördelar: Kan cachelagras lokalt, vilket minskar nätverkstrafiken.
• Nackdelar: Kanske inte är uppdaterad mellan uppdateringarna, kan bli stora och svårhanterliga.

2. Online Certificate Status Protocol (OCSP):

• OCSP tillåter certifikatstatuskontroller i realtid.
• Klienter skickar en begäran till en OCSP-svarare för att verifiera ett specifikt certifikats status.
• Fördelar: Ger realtidsstatus, mer effektivt än att ladda ner hela CRL:er.
• Nackdelar: Kräver nätverksanslutning för varje kontroll, potentiella integritetsproblem.

Så här gör du en kontroll:

För CRL:

1. Leta upp CRL-distributionspunkten i certifikatet (vanligtvis i tillägget "CRL Distribution Points").
2. Ladda ner CRL från den angivna URL:en.
3. Kontrollera om certifikatets serienummer finns med i CRL.

För OCSP:

1. Hitta OCSP-svarsadressen i certifikatet (vanligtvis i tillägget "Authority Information Access").
2. Skicka en OCSP-förfrågan till den som svarar med certifikatets information.
3. Ta emot och tolka OCSP-svaret.

Många operativsystem och webbläsare utför dessa kontroller automatiskt när de stöter på ett certifikat.

Vem kan återkalla ett certifikat?

Vanligtvis kan två enheter återkalla ett digitalt certifikat:

1. Certifikatutfärdare (CA):

• Den CA som utfärdade certifikatet har behörighet att återkalla det.
• CA:er kan återkalla certifikat av olika skäl, inklusive misstänkt intrång, policyöverträdelser eller på begäran av certifikatägaren.

2. Certifikatägare:

• Organisationen eller individen till vilken certifikatet utfärdades kan begära återkallelse.
• Detta görs vanligtvis via en portal eller ett gränssnitt som tillhandahålls av CA.

Process för certifikatägare:

1. Logga in på CA:s certifikathanteringsportal.
2. Leta upp certifikatet som ska återkallas.
3. Välj återkallningsalternativet och ange en orsak.
4. Bekräfta begäran om återkallelse.
5. CA behandlar begäran och uppdaterar sina spärrlistor.
6. Det är avgörande att ha korrekta autentiserings- och auktoriseringsmekanismer på plats för att säkerställa att endast legitima begäranden om återkallelse behandlas.

Vad händer efter återkallelse?

När ett certifikat har återkallats händer flera saker:

1. Certifikatet blir ogiltigt:

• Certifikatet anses inte längre vara tillförlitligt för säker kommunikation.
• Den ska inte användas för kryptering, digitala signaturer eller autentiseringsändamål.

2. System bör avvisa certifikatet:

• Korrekt konfigurerade system och applikationer kontrollerar återkallningsstatusen och avvisar återkallade certifikat.
• Detta förhindrar upprättandet av säkra anslutningar med det komprometterade eller ogiltiga certifikatet.

3. Information om återkallelse publiceras:

• CA uppdaterar sin Certificate Revocation List (CRL) för att inkludera det återkallade certifikatet.
• OCSP-svarare uppdateras för att rapportera den återkallade statusen när de frågas.

4. Potentiellt avbrott i tjänsten:

• Tjänster som använder det återkallade certifikatet kan bli otillgängliga tills ett nytt certifikat har installerats.
• Det är viktigt att ha en plan för att snabbt ersätta återkallade certifikat för att minimera driftstopp.

5. Säkerhetsvarningar:

• Vissa system kan generera varningar när de upptäcker användningen av ett återkallat certifikat.
• Dessa varningar kan hjälpa administratörer att identifiera och åtgärda potentiella säkerhetsproblem.

Bästa metoder efter återkallelse:

1. Ta omedelbart bort det återkallade certifikatet från alla system och applikationer.
2. Installera ett nytt, giltigt certifikat så snart som möjligt för att återställa säker kommunikation.
3. Undersök orsaken till återkallelsen och vidta lämpliga säkerhetsåtgärder (t.ex. byte av komprometterade lösenord, uppdatering av system).
4. Granska och uppdatera certifikathanteringsprocesser för att förhindra liknande problem i framtiden.

Slutsats

Att förstå återkallande av certifikat är avgörande för att upprätthålla en säker digital miljö. Genom att omedelbart återkalla komprometterade eller inaktuella certifikat och korrekt kontrollera återkallelsestatus kan organisationer avsevärt förbättra sin cybersäkerhetsställning och skydda känslig kommunikation.

Kom ihåg att certifikathantering, inklusive återkallelse, är en pågående process. Regelbundna granskningar, transparenta policyer och automatiserade verktyg kan hjälpa till att säkerställa att dina digitala certifikat förblir giltiga, pålitliga och säkra.