CRL (Certificate Revocation List)
Definition
Häufig gestellte Fragen
Warum ein Zertifikat vor seinem Ablauf widerrufen?
Weil ein Zertifikat jederzeit unzuverlässig werden kann. Der private Schlüssel könnte kompromittiert oder verloren gegangen sein, die darin enthaltenen Informationen könnten sich geändert haben, sein Inhaber könnte die Organisation verlassen haben, oder die Behörde könnte einen Fehler bei der Ausstellung festgestellt haben. Der Widerruf informiert Dritte, dass sie diesem Zertifikat nicht mehr vertrauen dürfen.
Was ist der Unterschied zwischen CRL und OCSP?
Die CRL ist eine vollständige Liste der widerrufenen Zertifikate, die in regelmäßigen Abständen veröffentlicht wird und die Software herunterlädt und dann abfragt. OCSP ist ein Online-Abfrageprotokoll: Die Software fragt den Status eines einzelnen Zertifikats ab und erhält eine signierte Antwort. OCSP ist leichter und aktueller; die CRL funktioniert ohne Verbindung, sobald sie heruntergeladen wurde.
Bleibt eine Signatur gültig, wenn das Zertifikat später widerrufen wird?
Ja, wenn sie vor dem Widerruf erstellt wurde. Entscheidend ist der Status des Zertifikats zum Zeitpunkt der Signatur. Allerdings muss dieses Datum nachgewiesen werden können: das ist die Aufgabe der Zeitstempel. Ohne sie wird es schwierig, nachzuweisen, dass eine Signatur älter ist als der Widerruf des Zertifikats, mit dem sie erstellt wurde.
Wie häufig wird eine CRL aktualisiert?
Die Häufigkeit wird durch die Zertifizierungspolitik jeder Behörde festgelegt. Jede Liste gibt das Datum ihrer nächsten Veröffentlichung an, was einer Software ermöglicht zu wissen, ob die vorhandene noch aktuell ist. Bei qualifizierten Zertifikaten schreiben die Normen vor, dass Widerrufsinformationen in kurzen Fristen verfügbar gemacht werden.
Zugehörige Leitfäden
Verwandte Begriffe
Bereit, diese Konzepte in die Praxis umzusetzen?
Mit Certyneo erstellen Sie eIDAS-konforme Signatur-Umschläge in wenigen Klicks, ohne Installation.