فهرست ابطال گواهی (CRL) یک جزء حیاتی از زیرساخت کلید عمومی (PKI) است که به حفظ یکپارچگی و امنیت گواهی‌های دیجیتال کمک می‌کند. این لیستی است که توسط یک مرجع صدور گواهینامه (CA) منتشر شده است که شامل شماره سریال گواهی هایی است که قبل از تاریخ انقضای برنامه ریزی شده آنها باطل شده اند. در اینجا به بررسی جنبه های اصلی آن می پردازیم:
هدف
- پیگیری لغو: CRL ها به کاربران و سیستم ها اجازه می دهند تا اعتبار یک گواهی دیجیتال را تأیید کنند. اگر گواهی به دلیل مصالحه، عدم انطباق باطل شود یا دیگر مورد استفاده قرار نگیرد، در CRL گنجانده خواهد شد.
- مدیریت اعتماد: با بررسی CRL، طرف های متکی می توانند تصمیمات آگاهانه ای در مورد اعتماد به یک گواهی بر اساس وضعیت آن بگیرند.
ساختار
- قالب: CRL ها معمولاً بر اساس استاندارد X.509 فرمت می شوند، که مشخص می کند فهرست چگونه باید ساختار داشته باشد و چه اطلاعاتی باید داشته باشد.
- اطلاعات گنجانده شده است: CRL شامل شماره سریال گواهی های باطل شده، تاریخ ابطال، تاریخ صدور CRL و تاریخ به روز رسانی بعدی است.
استفاده
- اعتبار گواهینامه: هنگامی که یک گواهی دیجیتال ارائه می شود (به عنوان مثال، در طی یک دست دادن SSL/TLS)، گیرنده می تواند CRL مربوطه را بررسی کند تا مشخص کند آیا گواهی باطل شده است یا خیر.
- کنترل دسترسی: سازمان ها می توانند سیاست های امنیتی را با استفاده از CRL ها برای ممانعت از دسترسی به منابع بر اساس وضعیت لغو گواهی ها اعمال کنند.
محدودیت ها
- به موقع بودن: CRL ها معمولا به طور منظم به روز می شوند (به عنوان مثال روزانه یا هفتگی). اگر گواهی مدت کوتاهی پس از به‌روزرسانی CRL لغو شود، ممکن است پنجره‌ای وجود داشته باشد که در طی آن هنوز معتبر تلقی می‌شود.
- تاثیر بر بهره وری: بسته به اندازه CRL و تعداد دفعات بررسی آن، ممکن است پیامدهای عملکردی به خصوص در سیستم هایی با گواهینامه های زیاد وجود داشته باشد.
AIA یا دسترسی به اطلاعات مرجع یک برنامه افزودنی است که در استاندارد X.509 برای گواهی‌های دیجیتالی تعریف شده است که اطلاعاتی در مورد نحوه دسترسی به مرجع صدور گواهی (CA) و جزئیات مرتبط اضافی درباره گواهی ارائه می‌دهد. این به ویژه برای مشتریانی که نیاز به دریافت گواهی صادرکننده یا اطلاعات اضافی در مورد فرآیند اعتبار سنجی گواهی دارند مفید است.
اجزای کلیدی AIA
- هدف:
- AIA به مشتریان کمک می کند تا نحوه بازیابی گواهی صدور گواهی CA و هر گونه اطلاعات مرتبط دیگر را بیابند و فرآیند اعتبار سنجی گواهی را تسهیل می کند.
- این روش ساده‌تری برای به دست آوردن گواهی‌ها و اطلاعات ابطال بدون نیاز به اطلاع قبلی از محل CA ارائه می‌کند.
- روش های دسترسی:
- برنامه افزودنی AIA می تواند روش های مختلفی را برای دسترسی به اطلاعات CA مشخص کند، به طور معمول از جمله:
- آدرس HTTP: پیوندی به سرور HTTP که در آن می توان گواهی CA را دانلود کرد.
- URL LDAP: پیوندی به سرور LDAP که در آن گواهی CA قابل بازیابی است.
- آدرس فایل: مسیر فایل حاوی گواهی CA.
- برنامه افزودنی AIA می تواند روش های مختلفی را برای دسترسی به اطلاعات CA مشخص کند، به طور معمول از جمله:
- اطلاعات گنجانده شده است:
- یک برنامه افزودنی AIA می‌تواند شامل چندین روش دسترسی باشد، که افزونگی و انعطاف‌پذیری را در نحوه بازیابی اطلاعات مورد نیاز مشتریان فراهم می‌کند.
سناریوی استفاده
هنگامی که مشتری یک گواهی دیجیتال دریافت می کند، می تواند پسوند AIA را بررسی کند تا مشخص کند که از کجا باید گواهی صادر کننده را دریافت کند. این امر به ویژه برای ایجاد یک زنجیره اعتماد مهم است، زیرا مشتریان باید تأیید کنند که هر گواهی در زنجیره معتبر است و به درستی توسط یک CA مورد اعتماد امضا شده است.
نتیجه گیری
به طور خلاصه، دسترسی به اطلاعات مرجع (AIA) یک افزونه ارزشمند در گواهی‌های دیجیتال X.509 است که فرآیند دسترسی به اطلاعات CA را ساده می‌کند، از اعتبارسنجی گواهی پشتیبانی می‌کند و امنیت را در زیرساخت کلید عمومی (PKI) افزایش می‌دهد.
CRL CDP مخفف عبارت است نقطه توزیع فهرست ابطال گواهی (CRL).. این مؤلفه ای است که در استاندارد X.509 تعریف شده است که مشخص می کند مشتری می تواند کجا یک CRL را برای یک گواهی خاص بازیابی کند. CRL CDP به عنوان یک افزونه در گواهی های دیجیتال صادر شده توسط یک مرجع صدور گواهی (CA) گنجانده شده است.
جنبه های کلیدی CRL CDP
- هدف:
- هدف اصلی CRL CDP ارائه اطلاعات مورد نیاز مشتریان برای یافتن و دانلود CRL مرتبط با یک گواهی خاص است. این به مشتریان این امکان را می دهد که وضعیت ابطال گواهی را قبل از اعتماد به آن بررسی کنند.
- ساختار:
- نقطه توزیع CRL یک برنامه افزودنی X.509 است که می‌تواند حاوی یک یا چند URL (جایاب‌های منبع یکنواخت) باشد که می‌توان به CRL دسترسی داشت. این URL ها می توانند به پروتکل های مختلفی مانند HTTP، LDAP یا دسترسی مبتنی بر فایل اشاره کنند.
- چندین امتیاز:
- یک گواهی می تواند شامل چندین نقطه توزیع CRL باشد که افزونگی را ارائه می دهد. اگر یک روش دسترسی در دسترس نباشد، کلاینت ها می توانند URL مشخص شده دیگری را برای بازیابی CRL امتحان کنند.
- دسترسی به CRL:
- مشتریان می توانند از نشانی های اینترنتی موجود در CRL CDP برای دانلود آخرین CRL منتشر شده توسط CA استفاده کنند. پس از دریافت، مشتری می تواند تأیید کند که گواهی با تطبیق شماره سریال آن با ورودی های CRL باطل شده است.
اهمیت در PKI
- مدیریت اعتماد: CRL CDP نقش مهمی در حفظ قابلیت اعتماد گواهی های دیجیتال ایفا می کند. با اطمینان از دسترسی آسان مشتریان به آخرین CRL، به جلوگیری از اتکا به گواهی‌های باطل شده کمک می‌کند و در نتیجه امنیت را افزایش می‌دهد.
- انطباق: برای سازمان هایی که برای ارتباطات ایمن به PKI متکی هستند، اطمینان از اجرای صحیح CDP های CRL برای انطباق با استانداردها و مقررات امنیتی مختلف ضروری است.
نتیجه گیری
به طور خلاصه، CRL Distribution Point (CDP) یکی از ویژگی های کلیدی گواهی های X.509 است که بازیابی CRL ها را تسهیل می کند. این تضمین می‌کند که مشتریان می‌توانند وضعیت ابطال گواهی‌ها را به طور موثر بررسی کنند، در نتیجه یکپارچگی و قابلیت اطمینان زیرساخت کلید عمومی (PKI) حفظ می‌شود.
بررسی کنید که ویژگی HTTP CRL در Active Directory فعال باشد
فعال کردن CRL از طریق HTTP تمرین خوبی است
پیش نیازها
بررسی کنید که آیا مکان CRL موجود است یا خیر
کنسول CA را باز کنید
CRL (CDP) را انتخاب کنید
سرویس را دوباره راه اندازی نکنید
AIA را انتخاب کنید
دلتا CRL ها (فهرست های ابطال گواهی) CRL های تخصصی هستند که فقط حاوی اطلاعات مربوط به گواهی های لغو شده از زمان آخرین CRL کامل هستند. این رویکرد به بهبود کارایی در توزیع و پردازش اطلاعات ابطال در یک زیرساخت کلید عمومی (PKI) کمک می کند.
کارایی:
- تنها با انتشار تغییرات، دلتا CRL مصرف پهنای باند را کاهش می دهد و روند بررسی وضعیت ابطال گواهی را سرعت می بخشد. این امر به ویژه در سناریوهایی که طول عمر گواهی کوتاه است و نرخ ابطال آن بالا است، اهمیت دارد.
اعتبار:
- CRL های دلتا فقط برای یک دوره مشخص معتبر هستند و معمولاً یک دوره اعتبار دارند که با انتشار CRL کامل بعدی منقضی می شود. این به این معنی است که مشتریان باید اطمینان حاصل کنند که به طور منظم هم CRL کامل و هم هر CRL دلتا را که دانلود می کنند به روز می کنند.
تنظیمات گواهی لغو شده را منتشر کنید
بررسی کنید که گواهینامه های صادر شده جدید دارای مکان HTTP CRL هستند
بررسی کنید که آیا URL موجود است یا خیر.
- گواهی را از فروشگاه گواهی صادر کنید.
- از دستور certutil -url “certname.der” استفاده کنید.
CRL را به ISE اضافه کنید
یک کلاینت را با گواهی لغو شده وصل کنید.
- بر اساس CRL، گواهی کاربر باطل می شود
قسمت 2 را می توانید در اینجا پیدا کنید.
