Wie funktioniert die Zertifikatssperrung innerhalb einer PKI?

Muss ein Zertifikat vor seinem regulären Ablaufdatum ungültig gemacht werden, etwa weil sein privater Schlüssel kompromittiert wurde oder der Zertifikatsinhaber den Zugriff nicht mehr benötigt, braucht die ausstellende CA eine Möglichkeit, mitzuteilen, dass dem Zertifikat nicht mehr vertraut werden soll, obwohl es formal noch nicht abgelaufen ist.

Die beiden wichtigsten Sperrmechanismen:

• Zertifikatssperrlisten (CRLs): Regelmäßig veröffentlichte Listen gesperrter Zertifikatsseriennummern, die vertrauende Parteien herunterladen und prüfen.
• Online Certificate Status Protocol (OCSP): Ein Echtzeit-Abfragemechanismus, mit dem eine vertrauende Partei den Status eines einzelnen Zertifikats prüfen kann, ohne eine vollständige Liste herunterzuladen.
• Notfallsperrung: Sofortige Sperrprozesse für zeitkritische Situationen wie eine bestätigte Schlüsselkompromittierung.

Von vertrauenden Parteien wird erwartet, den Sperrstatus zu prüfen, bevor sie einem Zertifikat vertrauen, wodurch sichergestellt wird, dass kompromittierte oder nicht mehr autorisierte Zertifikate zeitnah abgelehnt werden, statt bis zu ihrem ursprünglichen Ablaufdatum vertrauenswürdig zu bleiben.