Сертификаты с коротким сроком действия и централизация
TLS-сертификаты с очень коротким сроком действия должны решить проблему отзыва сертификатов в вебе: то есть, так как отзыв, фактически, не работает, выполнение его функции переносится на штатное истечение срока действия. Это не отменяет возможности по выпуску “быстрых” подменных сертификатов для активного перехвата соединений, но есть и ещё некоторые занятные технические особенности. Короткоживущий сертификат, вообще говоря, оказывается существенно эффективнее механизмов отзыва.
Предположим, что сертификаты начали впускать на 48 часов максимум, а базовым удостоверяющим центром для них всё так же является один централизованный сервис, типа Let’s Encrypt. Например, основная доля веб-узлов зоны .RU “подписана” этим УЦ. Если потребуется быстро отозвать миллионы сертификатов штатным образом, – что через обязательные CRL, что через опциональный OCSP, – то возникнет большая сопутствующая нагрузка на системы УЦ. В случае же с короткоживущими сертификатами – никакой дополнительной нагрузки не возникает, более того, нагрузка уменьшается: отзывать ничего не требуется, а УЦ просто перестаёт выпускать новые сертификаты для заданных имён (и IP-адресов).
Конечно, то же самое произошло бы и с “долгими” сертификатами, но там осталось бы больше времени для манёвра. Не то чтобы это ключевой фактор, но, всё же, особенность занятная, поскольку “короткие” сертификаты не только строго привязывают к некоторой автоматической технологии, но и дополнительно увеличивают степень централизации, вводя очень эффективный, “самосбывающийся” механизм быстрого отключения.
Адрес записки: https://dxdt.ru/2025/01/17/14811/
Похожие записки:
- "Пасхалки" в трафике
- Наложенные сети Chrome для размещения сервисов
- Нормализация символов Unicode и доменные имена
- Реплика: перемешивающие сети Google и фильтрация
- Переключение на ML-KEM в браузере Chrome
- Kyber768 и TLS-серверы Google
- Влияние систем ИИ на процессы в мире
- Уводящие помехи GPS/GNSS
- Согласование траекторий автомобилей-роботов
- YandexGTP и "признаки делимости"
- Постквантовая криптография и рост трафика в TLS
Написать комментарий