CRL (Lista de revocación de certificados)
Definición
Preguntas frecuentes
¿Por qué revocar un certificado antes de su vencimiento?
Porque un certificado puede dejar de ser confiable en cualquier momento. La clave privada puede haber sido comprometida o perdida, la información que contiene puede haber cambiado, su titular puede haber abandonado la organización, o la autoridad puede haber encontrado un error durante la emisión. La revocación informa a terceros que ya no deben confiar en este certificado.
¿Cuál es la diferencia entre CRL y OCSP?
La CRL es una lista completa de certificados revocados, publicada a intervalos regulares, que el software descarga y luego consulta. OCSP es un protocolo de consulta en línea: el software solicita el estado de un único certificado y recibe una respuesta firmada. OCSP es más ligero y más actual; la CRL funciona sin conexión una vez descargada.
¿Sigue siendo válida una firma si el certificado se revoca después?
Sí, si fue creada antes de la revocación. Lo que importa es el estado del certificado en el momento de la firma. Aún es necesario poder probar esta fecha: este es el rol de la marca de tiempo. Sin ella, es difícil establecer que una firma es anterior a la revocación del certificado que se utilizó para crearla.
¿Con qué frecuencia se actualiza una CRL?
La frecuencia es fijada por la política de certificación de cada autoridad. Cada lista indica la fecha de su próxima publicación, lo que permite a un software saber si la que posee sigue estando actualizada. Para los certificados calificados, las normas imponen que la información de revocación sea puesta a disposición en plazos cortos.
Guías asociadas
Términos relacionados
¿Listo para poner en práctica estos conceptos?
Certyneo le permite crear sobres de firma conformes eIDAS en pocos clics, sin instalación.