Revocación y su alcance real

Revocar un certificado significa que la autoridad lo marca como no confiable aunque no haya vencido. Esa marca se publica, en una lista de revocación que sale cada cierto tiempo o en un respondedor al que se consulta en el momento de la conexión. Nada obliga a un servicio a mirar esa marca: si no la consulta, sigue aceptando el certificado como si nada.

Así que la revocación tiene dos retrasos posibles: el de la publicación y el de la consulta. Un certificado puede estar revocado y seguir funcionando durante horas o días, según quién lo reciba.

Los servicios se dividen en los que consultan la revocación y los que no. Entre los que consultan hay más matices: algunos usan la lista y la guardan en caché durante horas o días; otros preguntan en línea en cada conexión. Y si la consulta falla, unos rechazan y otros aceptan. La combinación de esas decisiones es el alcance real de una revocación en esa empresa.

Abre glosario.txt y servicios.txt. Identifica el servicio que no comprueba la revocación de ningún certificado.

La primera pieza del retraso es cuánto tarda la autoridad en publicar. Si la lista sale una vez por semana y se revoca un certificado a media mañana, ese certificado no aparece en ninguna lista hasta la siguiente publicación. Cuánto tarda es un dato medible: la hora de la revocación contra la hora de la primera lista que contiene el número de serie.

Con revocados.txt y listas-de-revocacion.txt, calcula los minutos que pasaron entre la revocación del certificado de serie S-0107 y la publicación de la primera lista que lo incluye.

La segunda pieza es la consulta. Aun cuando la lista ya está publicada, un servicio con caché larga sigue usando la anterior, y uno que no consulta nunca se entera. La prueba definitiva no está en la configuración sino en el registro: las conexiones que se aceptaron con un certificado después de la hora en que se revocó.

En conexiones.txt, cuenta las conexiones aceptadas cuya hora es posterior a la revocación del certificado que presentaron. Las anteriores a la revocación no cuentan, ni las rechazadas.

Si la revocación llega tarde y a medias, la defensa no es publicar más rápido solamente. Se combina con tres cosas: certificados de vida corta, para que el tiempo de exposición tenga un tope aunque la revocación falle; servicios que consultan la revocación y, en lo crítico, fallan cerrado; y un procedimiento que, además de revocar, cambia la clave y reemplaza el certificado en el servicio comprometido.