قائمة إلغاء الشهادات

في علم التشفير ، تُعرف قائمة إبطال الشهادات ( CRL ) بأنها "قائمة بالشهادات الرقمية التي ألغتها جهة إصدار الشهادات (CA) قبل تاريخ انتهاء صلاحيتها المقرر، والتي لم يعد ينبغي الوثوق بها". ^{[ 3 ]}

يُطلب من هيئات إصدار الشهادات الموثوقة علنًا في البنية التحتية للمفاتيح العامة للويب (بما في ذلك من قبل منتدى هيئات إصدار الشهادات/المتصفحات ^{[ 4 ]} ) إصدار قوائم إبطال الشهادات لشهاداتها، وهي تفعل ذلك على نطاق واسع. ^{[ 5 ]}

قد تستخدم المتصفحات والجهات الأخرى المعتمدة قوائم إبطال الشهادات (CRLs)، أو قد تستخدم تقنيات بديلة لإبطال الشهادات (مثل بروتوكول حالة الشهادة عبر الإنترنت OCSP ) ^{[ 6 ] [ 7 ]} أو مجموعات بيانات CRL (مجموعة بيانات مشتقة من قوائم إبطال الشهادات ^{[ 8 ]} ) للتحقق من حالة إبطال الشهادة. تجدر الإشارة إلى أن بروتوكول حالة الشهادة عبر الإنترنت OCSP آخذ في التراجع بسبب مخاوف تتعلق بالخصوصية والأداء ^{[ 9 ] [ 10 ] [ 11 ]،} مما أدى إلى العودة إلى قوائم إبطال الشهادات ^{[ 12 ] [ 13 ] .}

يمكن للمشتركين والأطراف الأخرى أيضًا استخدام ARI. ^{[ 14 ]}

هناك حالتان مختلفتان للإلغاء: ^{[ 1 ]}

ملغى

يُلغى الاعتماد نهائيًا في حالتين: الأولى، إذا تبيّن أن جهة إصدار الشهادات قد أصدرت شهادة بشكل غير صحيح، والثانية، إذا اعتُقد أن المفتاح الخاص قد تم اختراقه. كما يجوز إلغاء الاعتماد في حال عدم التزام الجهة المحددة بمتطلبات السياسة، مثل نشر وثائق مزورة، أو تحريف سلوك البرمجيات، أو انتهاك أي سياسة أخرى تحددها جهة إصدار الشهادات أو عميلها. والسبب الأكثر شيوعًا للإلغاء هو فقدان المستخدم للمفتاح الخاص (كأن يكون الرمز المميز الذي يحتوي على المفتاح الخاص قد فُقد أو سُرق).

يمسك

يمكن استخدام هذه الحالة القابلة للعكس للإشارة إلى عدم صلاحية الشهادة مؤقتًا (على سبيل المثال، إذا كان المستخدم غير متأكد من فقدان المفتاح الخاص). في هذه الحالة، إذا تم العثور على المفتاح الخاص ولم يكن لأحد حق الوصول إليه، يمكن إعادة الحالة إلى وضعها السابق، وتصبح الشهادة صالحة مرة أخرى، وبالتالي إزالتها من قوائم إبطال الشهادات المستقبلية.

أسباب إلغاء الشهادة أو حجبها أو شطبها من القائمة وفقًا لـ RFC 5280 ^{[ 15 ]} هي:

• unspecified(0)
• keyCompromise(1)
• cACompromise(2)
• affiliationChanged(3)
• superseded(4)
• cessationOfOperation(5)
• certificateHold(6)
• removeFromCRL(8)
• privilegeWithdrawn(9)
• aACompromise(10)

لاحظ أن القيمة 7 غير مستخدمة.

يتم إنشاء قائمة إبطال الشهادات (CRL) ونشرها دوريًا، غالبًا على فترات زمنية محددة. كما يمكن نشرها فور إبطال الشهادة. تُصدر قائمة إبطال الشهادات من قِبل جهة إصدار معتمدة، وهي عادةً هيئة إصدار الشهادات التي أصدرت الشهادات الأصلية، ولكن يمكن أن تكون جهة أخرى موثوقة. لكل قائمة إبطال شهادة مدة صلاحية محددة، غالبًا ما تكون 24 ساعة أو أقل. خلال فترة صلاحية قائمة إبطال الشهادات، يمكن لأي تطبيق يدعم البنية التحتية للمفاتيح العامة (PKI) الرجوع إليها للتحقق من الشهادة قبل استخدامها.

لمنع انتحال الهوية أو هجمات حجب الخدمة ، تحمل قوائم إبطال الشهادات عادةً توقيعًا رقميًا مرتبطًا بجهة إصدار الشهادات التي نشرتها. وللتحقق من صحة قائمة إبطال شهادات معينة قبل الاعتماد عليها، يلزم الحصول على شهادة جهة إصدار الشهادات الخاصة بها.

غالباً ما تكون الشهادات التي يجب الاحتفاظ بقائمة إبطال الشهادات (CRL) لها هي شهادات X.509 / المفتاح العام ، حيث أن هذا التنسيق شائع الاستخدام بواسطة مخططات PKI.

لا تُغني تواريخ انتهاء الصلاحية عن قائمة إبطال الشهادات (CRL). فبينما تُعتبر جميع الشهادات منتهية الصلاحية غير صالحة، لا ينبغي أن تكون جميع الشهادات غير منتهية الصلاحية صالحة. تُعدّ قوائم إبطال الشهادات أو غيرها من تقنيات التحقق من صحة الشهادات جزءًا أساسيًا من أي بنية مفاتيح عامة (PKI) تعمل بشكل سليم، إذ من المتوقع حدوث أخطاء في فحص الشهادات وإدارة المفاتيح في العمليات الواقعية.

في مثالٍ جديرٍ بالذكر، صدرت شهادةٌ لشركة مايكروسوفت عن طريق الخطأ لشخصٍ مجهول، انتحل صفة مايكروسوفت بنجاح أمام هيئة إصدار الشهادات المتعاقدة مع مايكروسوفت لصيانة نظام شهادات الناشر لـ ActiveX ( VeriSign ). ^{[ 16 ]} رأت مايكروسوفت ضرورة تحديث نظام التشفير الفرعي لديها بحيث يتحقق من حالة الشهادات قبل اعتمادها. وكحلٍّ مؤقت، تم إصدار تحديثٍ لبرامج مايكروسوفت ذات الصلة (وخاصةً نظام ويندوز) يُحدد الشهادتين المعنيتين على وجه التحديد بأنهما "ملغيتان". ^{[ 17 ]}

تتطلب أفضل الممارسات التحقق من حالة الشهادة، أينما وكيفما يتم الحفاظ عليها، كلما رغب المستخدم في الاعتماد عليها. وإلا، فقد تُقبل شهادة ملغاة على أنها صالحة. وهذا يعني أنه لاستخدام البنية التحتية للمفاتيح العامة (PKI) بفعالية، يجب الوصول إلى قوائم إبطال الشهادات (CRLs) الحالية. يُلغي هذا الشرط للتحقق عبر الإنترنت إحدى المزايا الرئيسية الأصلية للبنية التحتية للمفاتيح العامة مقارنةً ببروتوكولات التشفير المتناظر ، ألا وهي أن الشهادة "ذاتية المصادقة". وتعتمد الأنظمة المتناظرة، مثل كيربيروس، أيضًا على وجود خدمات عبر الإنترنت ( مركز توزيع المفاتيح في حالة كيربيروس).

إن وجود قائمة إبطال الشهادات (CRL) يستلزم وجود جهة (أو منظمة) لتطبيق السياسة وإلغاء الشهادات التي تُعتبر مخالفة للسياسة التشغيلية. في حال إلغاء شهادة عن طريق الخطأ، قد تنشأ مشاكل جسيمة. وبما أن جهة إصدار الشهادات مُكلّفة بتطبيق السياسة التشغيلية لإصدار الشهادات، فإنها عادةً ما تكون مسؤولة عن تحديد ما إذا كان الإلغاء مناسبًا ومتى، وذلك من خلال تفسير السياسة التشغيلية.

إن ضرورة مراجعة قائمة إبطال الشهادات (أو أي خدمة أخرى للتحقق من حالة الشهادة) قبل قبول الشهادة تُثير احتمالية وقوع هجوم حجب الخدمة على البنية التحتية للمفاتيح العامة. فإذا فشل قبول الشهادة لعدم وجود قائمة إبطال شهادات صالحة، فلن تتمكن أي من العمليات التي تعتمد على قبول الشهادة من التنفيذ. وتوجد هذه المشكلة أيضًا في أنظمة Kerberos، حيث يؤدي عدم الحصول على رمز مصادقة ساري المفعول إلى منع الوصول إلى النظام.

يُعد بروتوكول التحقق من صحة الشهادات المعروف باسم بروتوكول حالة الشهادة عبر الإنترنت (OCSP) بديلاً لاستخدام قوائم إبطال الشهادات (CRLs) . وتتمثل الميزة الرئيسية لبروتوكول OCSP في أنه يتطلب نطاقًا تردديًا أقل للشبكة، مما يتيح إجراء فحوصات الحالة في الوقت الفعلي أو شبه الفعلي للعمليات ذات الحجم الكبير أو القيمة العالية.

أعلنت موزيلا، اعتبارًا من الإصدار 28 من فايرفوكس، أنها ستتوقف عن استخدام CRL لصالح OCSP. ^{[ 6 ]}

قد يزداد حجم ملفات قوائم إبطال الشهادات (CRL) بشكل كبير مع مرور الوقت، كما هو الحال في الحكومة الأمريكية، حيث قد يصل حجمها إلى عدة ميغابايتات في بعض المؤسسات. لذلك، تم تصميم قوائم إبطال الشهادات التزايدية ^{[ 18 ]،} والتي يُشار إليها أحيانًا باسم "قوائم إبطال الشهادات التفاضلية". ومع ذلك، لا يُطبّقها سوى عدد قليل من العملاء. ^{[ 19 ]}

قائمة إبطال الصلاحيات (ARL) هي شكل من أشكال قوائم إبطال الشهادات (CRL) التي تحتوي على الشهادات الملغاة الصادرة إلى سلطات إصدار الشهادات ، على عكس قوائم إبطال الشهادات التي تحتوي على شهادات الكيانات النهائية الملغاة. ^{[ 20 ] [ 21 ]}

• طرف ثالث موثوق به
• شبكة الثقة
• جهة إصدار الشهادات
• بروتوكول حالة الشهادة عبر الإنترنت