Можно ли вернуть статус сертификата без OCSP (протокол статуса сертификата в сети)?

Question

Я создал сервер центра сертификации, используя Node.js и некоторую криптографическую библиотеку, поддерживающую знак RSA, проверку и генерацию X.509.Когда я добавил функцию отзыва сертификатов с помощью протокола статуса сертификата в сети (OCSP), я подумал о том, почему мне нужно отправить запрос и получить ответ с помощью OCSP, потому что я хочу знать только то, что это не объект запроса / ответа OCSP, а просто статус сертификата.(Хороший или отозван.)

Имеет ли смысл запрашивать не объект ответа OCSP (.PEM или что-то еще), а значение состояния сертификата, например код состояния HTTP (200: OK, 400: NOT FOUND)?

Answer 1

Причина, по которой OCSP отвечает объектом, подписанным ЦС, заключается в том, что проверяющие стороны знают, что объект и, следовательно, статус сертификата являются подлинными.

Если ваша новая служба статуса получает запрос «Что такоестатус сертификата с серийным номером 123456789 "и возвращает простой ответ HTTP, клиент не сможет аутентифицировать этот ответ;упростить выполнение атаки подстановки и поместить ответ 200 ХОРОШО, если на самом деле закрытый ключ сертификата был скомпрометирован и необходимо отправить 401 ОТВЕТ.приведет к постоянной рекурсивной проверке статуса.

Возможно, вы могли бы использовать HTTPS, если сертификат сервера состояния выдается центром сертификации, который не использует ваш протокол, вместо этого используя альтернативы, такие как OCSP или точка распространения CRL.Но это только усложняет решение в целом, а не упрощает задачу проверки статуса.

Answer 2

OCSP (онлайн-протокол статуса сертификата) - это стандартный протокол для получения текущего статуса сертификата, управляемого RFC6960

Протокол определяет обмен сообщениями, включая контент, кодировку, контент-типа и HTTP-коды ответов.

Если вы хотите создать PKI общего назначения, не имеет смысла определять ваш собственный протокол, потому что ни один текущий клиент не будет его использовать (браузеры, мобильные устройства, программные инструменты и т. д.).., но ожидайте, что у вас будет стандартная служба OCSP.

Но если вы собираетесь создавать свои собственные клиентские инструменты для внутренней PKI, может быть полезно иметь очень простую службу запроса статуса (например, 200 GOOD)., 401 REVOKED, 404 UNKNOWN).Но в этом случае не называйте это OCSP