Какова цель «срока действия» в сертификатах X.509?

Question

Я прочитал части RFC 2459 (сертификат инфраструктуры открытого ключа Internet X.509 и профиль CRL), которые, по моему мнению, имеют отношение к этому вопросу.Однако я не совсем понимаю, какова цель срока действия сертификата (в частности, даты истечения срока действия) сертификата.

Насколько я понимаю, цель сертификата состоит в том, чтобы связать открытый ключ сличность таким способом, который можно проверить (в X.509, через центр сертификации или в OpenPGP, через сеть доверия).Поэтому мне кажется, что сертификат будет действителен с момента его создания до момента компрометации соответствующего закрытого ключа (или увольнения сотрудника, или чего-то еще), и в этом случае он будет включен в список отзыва сертификатов.(Я верю).

При каких обстоятельствах это не так?Почему привязка идентификатора к открытому ключу внезапно становится недействительной?Я знаю, что большинство центров сертификации являются коммерческими предприятиями, и поэтому было бы выгодно иметь периодическую плату, но я делаю проект с открытым исходным кодом, который просто генерирует сертификаты (бесплатно), которые связывают имя пользователя на сервере с открытым ключом.и пароль пользователя используется для проверки его личности в ЦС (который, конечно, хранит его хешированный пароль).

Answer 1

Идея состоит в том, чтобы уменьшить окно возможностей в случае компрометации закрытого ключа.Отзыв возможен только в том случае, если скомпрометированная сторона знает об этом.Кроме того, существующие механизмы отзыва не являются полностью надежными, поэтому хорошо иметь фиксированную дату истечения срока действия.

Answer 2

Я почти уверен, что вы ответили на свой вопрос относительно коммерческого аспекта. Но я добавлю сюда еще одну.

Это частично защищает от потерь, когда вы даже не подозреваете, что они вообще были потеряны. Другими словами, единственный раз, когда он будет отображаться в списке отзыва сертификатов, это если кто-то знает , что он был взломан. Во многих случаях вы не узнаете, что он был скомпрометирован, поэтому хорошо иметь способ принудительно обновить ключ.

Это похоже на старые времена, когда шпион использовал шифр, который менялся ежедневно. Не то чтобы они думали, что старые ключи были скомпрометированы, они изменились, потому что у них не было понятия , если ключи были скомпрометированы.

Другим примером является истечение срока действия вашего пароля каждые 90 дней или около того. Это не истекает, потому что, как известно, было потеряно; срок его действия истекает в случае он был потерян, и вы этого не знаете.