Вопрос: Какова цель «срока действия» в сертификатах X.509?


Я прочитал части RFC 2459 (Internet X.509 Public Key Infrastructure Certificate и CRL Profile), которые, как я полагал, имеют отношение к этому вопросу. Однако я не совсем понимаю, какова цель срока действия (в частности, срок действия) сертификата.

Я понимаю, что целью сертификата является привязка открытого ключа к идентификатору таким образом, который может быть проверен (в X.509, через центр сертификации или в OpenPGP через сеть доверия). Поэтому мне кажется, что сертификат будет действителен с момента его создания до момента, когда соответствующий секретный ключ будет скомпрометирован (или уволен сотрудник или что-то еще), и в этом случае он будет помещен в список аннулирования сертификата (Я верю).

При каких обстоятельствах это не так? Почему вдруг привязка личности к открытому ключу становится недействительной? Я знаю, что большинство центров сертификации являются коммерческими предприятиями, и поэтому было бы выгодно иметь постоянную плату, но я делаю проект с открытым исходным кодом, который просто генерирует сертификаты (бесплатно), которые связывают имя пользователя на сервере с открытым ключом , а пароль пользователя используется для подтверждения его личности в ЦС (который, конечно же, хранит его хешированный пароль).


3


источник


Ответы:


Идея заключается в том, чтобы уменьшить окно возможностей, если частный ключ будет скомпрометирован. Отмена возможна только в том случае, если компрометированная сторона это осознает. Кроме того, существующие механизмы аннулирования не являются полностью надежными, поэтому хорошо иметь фиксированную дату истечения срока действия.


6



Я уверен, что вы ответили на свой вопрос в отношении коммерческого аспекта. Но я брошу еще один здесь.

Это, в частности, защищает от потерь, когда вы не подозреваете, что это когда-либо было потеряно. Другими словами, единственный раз, когда он будет отображаться в списке отзыва сертификатов, будет кто-то знает  он был скомпрометирован. Есть много случаев, когда вы не знаете, что это было скомпрометировано, поэтому хорошо иметь способ заставить обновить ключ.

Это похоже на старые времена, когда шпион использовал шифр, который менялся ежедневно. Дело не в том, что они думали, что старые ключи были скомпрометированы, они изменились, потому что они без понятия  если ключи были скомпрометированы.

Еще один пример: срок действия вашего пароля истекает каждые 90 дней или около того. Он не истекает, потому что он, как известно, потерян; он истекает в дело  он был потерян, и вы этого не знаете.


2