Стандартные подходы к развертыванию безопасности

Question

У меня следующий вопрос:
В развертываниях безопасности какова стандартная практика, если проверки сертификатов выполняются для сертификатов, но по какой-то определенной причине в определенный момент невозможно определить статус целевого сертификата?
Например. потому что сеть не работает или OCSP не работает и т. д. (любая причина, которая по существу не может дать окончательного указания о том, что на самом деле является статусом сертификата).
Сначала я подумал, что сертификат следует считать отклоненным (и, например, отбросить сеанс).
Однако, с другой стороны, если бы я был действительным пользователем и мне было отказано в доступе к ресурсам, из-за не связанных с этим проблем (например, проблем с сетью) мне бы это совсем не понравилось.
Так что я не уверен, что здесь произойдет, будет ли это зависеть от среды безопасности, или на самом деле существует какой-то стандартный подход для решения этой проблемы?

Любые пожелания приветствуются.

Answer 1

Веб-браузеры имеют ту же проблему.Когда вы подключаетесь к сайту, они проверяют сертификат сайта на аннулирование с помощью OCSP.Однако, если сервер OCSP не работает (что довольно часто происходит, поскольку центры сертификации не конкурируют с временем безотказной работы OCSP), они не могут этого сделать.В этом случае они принимают сертификат как действительный.Конечно, это всегда относится к вашему сценарию использования и модели угроз.Если цена такого предположения высока - то есть страна обанкротится или несколько человек умрут - тогда, возможно, было бы разумно не считать действительным, пока не проверена отмена.

Answer 2

Некоторые системы кэшируют списки отзыва и / или результаты проверки отзыва на фиксированную или настраиваемую продолжительность. Некоторые запрашивают решение пользователя. Некоторые делают оба (то есть: запрашивают решение пользователя, только если кэшированный результат показывает, что сертификат еще не был отозван).