Revocación y comprobación del estado

Hay dos formas de publicar el estado de un certificado. La lista de revocación (CRL, definida en el RFC 5280) es un documento firmado con todas las series revocadas, que la autoridad publica cada cierto tiempo y que vale hasta su próxima actualización. OCSP (RFC 6960) responde por un certificado concreto en cada consulta, con una respuesta firmada que también tiene vigencia. En las dos, el validador guarda lo que recibe y no vuelve a preguntar hasta que le toca.

De ahí sale la ventana que el arquitecto tiene que medir: desde que se revoca hasta que el último validador lo sabe pasan el tiempo hasta la siguiente publicación y el tiempo hasta que cada validador vuelve a descargar. Mientras tanto, el certificado revocado sigue entrando.

La segunda decisión es qué hace el validador cuando no puede saber el estado. Rechazar protege, pero convierte una falla de la PKI en un apagón. Aceptar mantiene el servicio, pero cualquiera que bloquee la consulta anula la revocación. No hay una respuesta única: se decide por consumidor, según lo que cuesta cada error, y se escribe.

Antes de medir ventanas hay que encontrar al validador que no pregunta nunca. Para él, revocar no cambia nada: el certificado vale hasta que vence, y en un perfil de dos años eso puede ser mucho tiempo. Suele ser un sistema antiguo o uno que se configuró con prisa y al que nadie volvió.

Abre el laboratorio y lee quien-comprueba.txt.

Ahora la ventana real. Necesitas tres momentos: cuándo se revocó, cuándo salió la primera lista con esa serie y cuándo la descargó el concentrador. Los dos primeros están en robo-tienda-t087.txt y publicacion-del-estado.txt; el tercero, en quien-comprueba.txt. El registro conc-vpn01.log confirma el cálculo: verás túneles aceptados después de la revocación y el primer rechazo.

Con la ventana medida, el arquitecto propone cómo achicarla sin crear un apagón. Las palancas son tres: publicar al revocar además de a la hora fija, que los validadores descarguen más a menudo (o consulten OCSP con respuestas de vida corta) y decidir, por consumidor, qué se hace cuando no hay estado. Dos concentradores que atienden a los mismos enrutadores y deciden distinto ante la duda dejan la puerta abierta por el más permisivo.