Wenn ein Zertifikat abgelaufen ist, wird sein Sperrstatus nicht mehr veröffentlicht. Das heißt, das Zertifikat wurde möglicherweise vor langer Zeit widerrufen, es wird jedoch nicht mehr in die CRL aufgenommen. Das Ablaufdatum des Zertifikats ist der Stichtag für die CRL-Aufnahme. Dies ist der offizielle Grund, warum Zertifikate ablaufen: um die CRL-Größe zu begrenzen.

(Der inoffizielle Grund besteht darin, dass Zertifikatsinhaber eine jährliche Gebühr zahlen müssen.)

Sie können einem abgelaufenen Zertifikat also nicht vertrauen weil Sie den Widerrufsstatus nicht überprüfen können . Es könnte vor Monaten widerrufen worden sein, und Sie würden es nicht wissen.

Eine gute Frage. Die einfachste Antwort ist, dass ein Ablaufdatum sicherstellt, dass Sie von Zeit zu Zeit ein "Audit" durchführen. Wenn es kein Ablaufdatum gäbe und jemand die Verwendung eines Zertifikats (und den Schutz des privaten Schlüssels) einstellen würde, würde es niemand jemals erfahren. Durch ein Ablaufdatum stellen Sie jedoch sicher, dass der Benutzer zu dem Unternehmen zurückkehrt, das ihm das SSL-Zertifikat verkauft hat, und ihm viel mehr Geld zahlt. Ich meine, er hat ein Audit und wird als die Person oder Dienstleistung, auf die er Anspruch erhebt, erneut validiert be (Ich werde versuchen, Beschimpfungen über das aktuelle Internet-Sicherheitsmodell aus dieser Frage herauszulassen).

Das Problem lautet dann: Wenn Sie eine Nachfrist haben, in der Sie abgelaufene Zertifikate ignorieren, Wie lange dauert es? Ein Tag? Eine Woche? Ein Monat? Irgendwann müssen Sie einfach aufhören, dem Zertifikat zu vertrauen. Wenn Sie diesen Punkt einen Tag nach Ablauf verdeutlichen, können Sie sich immer noch fragen: "Was hätte zwischen heute und gestern passieren können?" Und Sie geraten in eine Schleife.

Im Wesentlichen haben Sie Recht: Die Leute hören nicht auf magische Weise auf, ihre privaten Schlüssel zu schützen, sobald das Ablaufdatum erreicht ist (oder sie haben sie möglicherweise vor langer Zeit nicht mehr geschützt) und niemand weiß es, weil sie sie nicht widerrufen haben und noch nicht abgelaufen sind). Das Ablaufdatum sagt nichts über die Sicherheit des Zertifikats aus, aber wenn Sie keinen Cut-Off haben, werden Sie nie wissen, dass ein Zertifikat möglicherweise vergessen wird, während Sie bei einem Zertifikat zumindest so viel wissen .

Wenn es eine universelle Nachfrist von fünf Tagen gäbe, würde niemand den Ablauf der Zertifikate bis fünf Tage später bemerken, so dass Sie einen identischen Nettoeffekt haben, wenn Sie ein abgelaufenes Zertifikat sofort ablehnen. Es ist die Tatsache, dass SSL-Verbindungen nicht mehr funktionieren, die den Druck erzeugt.

Ich vermute, dass es für SSL-Clientanwendungen produktiver wäre, laut vor einem bevorstehenden Ablauf des Zertifikats zu warnen, damit die Benutzer dieser Anwendungen Druck auf sie ausüben können Dienstanbieter im Voraus.

Ich stimme zu, dass das aktuelle System nicht optimal ist.

Ein besseres Zertifikatsystem könnte einen "gelben" Status für Zertifikate haben, die kurz vor dem Ablauf stehen ("grün" ist ein gültiges Zertifikat und "rot" "ein abgelaufenes Zertifikat sein), das innerhalb eines Monats abläuft. Jedes N-Jahres-Zertifikat läuft nach N Jahren + 1 Monat ab, obwohl sie idealerweise innerhalb des N-Jahres-Zeitraums aktualisiert werden. Während des letzten Monats sollte jedoch jede Anwendung, die ein Zertifikat verwendet, dem Benutzer eine milde Warnanzeige geben. Zum Surfen im Internet können Sie die URL beispielsweise gelb statt grün färben - mit einer Hover / Click-Meldung:

Das Zertifikat dieser Website läuft am 25. März 2013 und ab sollte vom Domaininhaber vor Ablauf aktualisiert werden. Das Zertifikat ist weiterhin vollständig gültig und sollte zu diesem Zeitpunkt vollständig vertrauenswürdig sein. Anwendungen, die auf diesem Zertifikat basieren, funktionieren jedoch am 25. März 2013 nicht mehr, wenn das Zertifikat bis dahin nicht aktualisiert wird.

Wäre das perfekt? Wahrscheinlich nicht, da einige Anwendungen diese Nachrichten möglicherweise nicht an den Benutzer weitergeben und das Ablaufdatum weiterhin erreicht wird. Außerdem muss in einem Standard festgelegt werden, wie bald vor Ablauf der Zertifikate die Aktualisierung erfolgen soll (ein Tag, eine Woche, zwei Wochen, ein Monat). Aber es scheint definitiv eine Verbesserung zu sein.

(Zugegeben, ich bin damit einverstanden, dass Microsoft den Ball wirklich fallen ließ, als das Azure-Zertifikat ablief - das ist ein Zeichen der Inkompetenz für eine Plattform, die versucht, Unternehmensanwendungen zu unterstützen ).

Die Antwort ist so einfach wie das Geschäft: "Die Rechnung wird nicht bezahlt"

Die Zertifizierungsstelle behauptet für einen bestimmten Zeitraum, dass dieses Zertifikat gültig ist. Dies sagt jedoch nicht viel über die Vertrauenswürdigkeit der Zertifizierungsstelle und die Prozesse des Zertifikatsinhabers aus.

Es hat mit Wahrnehmung und angemessenen Sicherheitspraktiken zu tun.

Wenn Sie ein Zertifikat mit beispielsweise einem einjährigen Ablauf erstellen, sagen Sie im Grunde: "Wir können die Integrität des Zertifikats nicht garantieren." mehr als ein Jahr, also werden wir vorher ein neues Zertifikat einführen . "

Eine Site mit einem abgelaufenen Zertifikat ist also ein Zeichen dafür, dass die Administratoren dies nicht getan haben halten Sie ihr Versprechen ein, innerhalb der von ihnen festgelegten Zeit zu verlängern, was auf schlechte Sicherheitspraktiken hindeutet.

Es ist der gleiche Grund, warum Sie die Hölle erwischen, wenn Sie eine Autoinspektion verpassen, selbst wenn Ihr Auto zu sein scheint läuft gut oder warum Produkte ein Verfallsdatum haben.

Haltbarkeit könnte für einige Produkte interessant sein: Der Hersteller gibt an, dass er garantiert, dass das Produkt während einer bestimmten Zeit gültig ist, er kann dies jedoch nicht Garantie, dass die ursprünglichen Eigenschaften vorhanden sind, wenn Sie das Produkt nach diesem Zeitraum verbrauchen.

Ein Zertifikat hat dasselbe: Es hat einen Zeitraum, in dem der Aussteller angibt, dass es gültig ist. Während dieser Zeit sollte das Zertifikat in Ordnung sein. Und wenn dies nicht der Fall ist, wird es einen Rückruf geben: Eine Widerrufsliste des Ausstellers sagt der ganzen Welt, "vertraue diesem Zertifikat nicht noch einmal, weil es irgendwie kompromittiert werden könnte".

Nach dem Ablaufdatum wird der Aussteller dieses Zertifikat nicht mehr nachverfolgen: Es hat das Datum überschritten, an dem es gut war. Daher sollte jeder, der ihm noch vertraut, dies nur aufgrund seiner Überzeugung tun, nicht aufgrund des Ausstellers (oder eines anderen). .

Nach dem Ablaufdatum ist das Zertifikat nicht schlecht, kaputt, stinkend ... es kann nur nicht mehr garantiert werden, dass es widerrufen wurde. Und warum wir einem kürzlich abgelaufenen SSL-Zertifikat nicht vertrauen , liegt daran, dass wir Sicherheit wünschen und Zertifikate verwenden, um etwas zu garantieren. Wenn wir nicht sicher sein können, ob es widerrufen wurde (oder werden würde), können Sie nicht sicher sein, dass es kompromittiert wurde, und Sie haben keine Sicherheit, wenn Sie es verwenden ...

Neben den bereits erwähnten Dingen (es ist empfehlenswert, solche Schlüssel regelmäßig zu ändern, die Zertifizierungsstellen möchten bezahlt werden, die Identität erneut prüfen usw.) gibt es auch einen technischen Grund. Browser informieren Sie darüber, dass sie die Gültigkeit des Zertifikats nicht überprüfen können.

Zertifikate können widerrufen, dh als ungültig markiert werden, falls ihre Schlüssel kompromittiert werden, die Zertifizierungsstelle feststellt, dass sie falsch ausgestellt wurden usw. Diese Widerrufsinformationen sind garantiert während der Gültigkeitsdauer, jedoch nicht danach. Dies ermöglicht es, die CRL-Größe (Certificate Revocation List) klein zu halten. Obwohl CRLs heutzutage in browserbasiertem SSL selten verwendet werden, kann dies auch andere Methoden zur Überprüfung der Gültigkeit beeinflussen.

Aus diesem Grund ist die Durchsetzung des Gültigkeitsdatums technisch sinnvoll und erfolgt nicht nur, weil "Zertifikate dies sollten" erneuert werden, um sicherzustellen, dass erneut geprüft wird "und" Zertifizierungsstellen möchten bezahlt werden ".

Das Festlegen des Ablaufdatums für Zertifikate erfolgt aus ungefähr demselben Grund, aus dem Sie Ihr Kennwort von Zeit zu Zeit ändern sollten und eine Richtlinie haben, mit der Benutzer es von Zeit zu Zeit ändern können. Wird nicht immer benötigt , kann aber manchmal nützlich sein.

Zum Beispiel könnte Ihr Ex-Angestellter mit Ihrer (internen) Job-Zertifizierungsstelle seine Phising-Website unterzeichnen und Sie würden bei keine Unterschiede feststellen alles zwischen seiner Site und Ihrer Bank-Site (einschließlich Ihres Browsers, der angibt, dass die Verbindung sicher ist). Wenn Sie mindestens ein Ablaufdatum für die interne Zertifizierungsstelle haben, können Sie es von Zeit zu Zeit ändern und dies vermeiden.

Sie können immer noch "Es ist mir egal" sagen und das Zertifikatdatum auf z. 2300 (wenn Sie der Eigentümer von CA sind). Natürlich möchten kommerzielle, externe Behörden Sie möglicherweise dazu bringen, das Ablaufdatum Ihrer Lizenz festzulegen ;-).

Es hängt davon ab, was Sie sichern. Es ist relativ sicher. Es ist ein Zero-Day-Mann im mittleren Angriff. Ein Angreifer muss wissen, dass das Zertifikat abgelaufen ist, dass Sie dieses Zertifikat verwenden, und sich innerhalb weniger Tage zwischen Ihnen und dem Server einfügen. Wenn Sie nukleare Geheimnisse hüten, ist es zu riskant, um zu vertrauen. Wenn Sie Ihre Kreditkartennummer senden, ist dies für einige Tage oder Wochen in Ordnung (nicht, dass Sie sowieso haften). Wenn Sie über Diktatoren im Iran bloggen, riskieren Sie im Iran Ihr Leben, und das Risiko ist es möglicherweise nicht wert.