|
Lista de revocación de certificadosLa lista de revocación de certificados, conocida por sus sigla en inglés CRL (Certificate Revocation List) es un registro utilizado en la operación de algunos sistemas criptográficos, usualmente los de infraestructura de clave pública (PKI), para mantener un listado de aquellos certificados (más concretamente sus números de serie) que han sido revocados y, por tanto, ya no son válidos y en los que no se debería confiar. UtilidadCuando una autoridad de certificación emite un certificado digital, lo hace con un periodo máximo de validez, que suele estar comprendido entre dos y cuatro años. En España por ejemplo, la perdurabilidad máxima para fines legales esta tipificada por la Ley 59/2003 sobre la firma electrónica, Artículo 8. que establece la duración para los certificados reconocidos de un máximo de cinco años. El objetivo de este periodo de caducidad es obligar a la renovación del certificado para adaptarlo a los cambios tecnológicos. Así se disminuye el riesgo de que el certificado quede comprometido por un avance tecnológico. La fecha de caducidad viene indicada en el propio certificado digital. Sin embargo, existen otras situaciones que pueden invalidar el certificado digital aun cuando no ha caducado, de manera inesperada:
Por tanto, debe existir algún mecanismo para comprobar la validez de un certificado antes de su caducidad. Las CRL son uno de estos mecanismos. FuncionamientoUna CRL es una lista de números de serie de certificados digitales revocados por una autoridad de certificación concreta. Dicha lista está firmada digitalmente por la propia autoridad de certificación. Cuando un tercero desea comprobar la validez de un certificado debe descargar una CRL actualizada desde los servidores de la misma autoridad de certificación que emitió el certificado en cuestión. A continuación comprueba la autenticidad de la lista gracias a la firma digital de la autoridad de certificación. Después debe comprobar que el número de serie del certificado cuestionado está en la lista. En caso afirmativo, no se debe aceptar el certificado como válido. Estrictamente hablando, no es necesario descargar una CRL cada vez que se verifica un certificado. Solamente es necesario cuando no se dispone de la CRL de una entidad de certificación concreta, y cuando dicha lista tiene una cierta antigüedad que aconseja su renovación. Una forma de averiguar si un certificado fue revocado es utilizando el protocolo OCSP (Online Certificate Status Protocol, RFC 2560). Mediante este último se pueden realizar consultas sobre certificados específicos sin la necesidad de descargar una CRL. Ventajas e inconvenientesLa única ventaja de las CRL es que se pueden consultar sin necesidad de una conexión de datos permanente con cada autoridad de certificación. Basta establecer dicha conexión con cierta periodicidad para descargar las CRL actualizadas. Sin embargo, las desventajas de las CRL son varias:
AlternativasLa única alternativa a las CRL es utilizar un protocolo de consulta en línea que aporte información al momento sobre cada certificado en concreto. Este protocolo se denomina OCSP. Enlaces relacionados
|
Portal di Ensiklopedia Dunia
