Списки отозванных сертификатов

Списки отозванных сертификатов
	2.8.4. Сертификаты ЭП

В системе "Corporate" предусмотрена возможность использования списков отозванных сертификатов (СОС), выпускаемых удостоверяющими центрами в виде CRL-файлов (Certificate Revocation List).

Списки отозванных сертификатов публикуются как для клиентских сертификатов, так и для сертификатов самих УЦ.

Списки отозванных сертификатов могут быть как импортированы в систему вручную (см. инстр. «Ручной импорт списка отозванных сертификатов»), так и загружены в систему автоматически, на основании данных, указанных в параметрах загружаемых в систему сертификатов удостоверяющих центров.

Ручной импорт списков отозванных сертификатов

Импортированные в систему списки отозванных сертификатов отображаются в форме Список отозванных сертификатов.

Рис. 2.53. Форма списка Список отозванных сертификатов

Каждая запись соответствует отдельному файлу CRL, загруженному в систему. Просмотр осуществляется стандартным образом, в окне Список отозванных сертификатов:

Рис. 2.54. Окно Список отозванных сертификатов, вкладка Общие

Каждая запись СОС содержит следующую информацию:

Дату и время импорта файла в систему.
Номер версии файла CRL.
Данные издателя файла – УЦ.
Дату вступления в силу списка отозванных сертификатов.
Дату следующего обновления списка УЦ.
Номер алгоритма подписи.
Идентификатор ключа УЦ.
Порядковый номер файла CRL.
Список отозванных сертификатов, с указанием даты и причины отзыва.
Историю изменений СОС.

Система позволяет работать сразу с несколькими СОС, выпущенных различными УЦ. В тех случаях, когда в систему импортируются несколько СОС, выпущенных одним и тем же УЦ, актуальным считается тот, чья дата начала действия является наиболее поздней.

При импорте СОС в систему производится проверка всех используемых в системе сертификатов, выпущенных тем же УЦ, что и данный СОС, а также содержимое ранее загруженных версий данного СОС. При этом возможны следующие сценарии:

Сертификаты, имеющие статус, отличный от "Неактивен", присутствующие в системе и выданные тем же УЦ, что и данный СОС, в случае их наличия в импортируемом СОС, переводятся в статус "Неактивный".

При этом информация об автоматической блокировке сертификата в результате обработки по загруженному в систему СОС отображается в окне просмотра свойств сертификата.

Информация о дате и причинах блокировки / отзыва того или иного сертификата из СОС может быть просмотрена в окне Список отозванных сертификатов, на вкладке Список отзыва.
Сертификаты, имеющие в системе статус "Неактивный", присутствующие в более ранней версии импортируемого в систему СОС, если они отсутствуют в новой версии данного СОС и при этом имеют неистекшей срок действия и код причины отзыва "6" ("certificateHold"), переводятся в статус "Активный".

Неактивные сертификаты, присутствующие в актуальном загруженном СОС, не могут быть активированы вручную.

История обновлений СОС доступна при просмотре соответствующей записи в окне Список отозванных сертификатов, на вкладке История.

Загрузка СОС из сертификата УЦ

При загрузке в систему сертификатов Головного УЦ, а также сертификатов аккредитованных УЦ, система выполняет поиск в данных сертификата ссылок на структуры хранения СОС, публикуемых УЦ, чей сертификат импортируется.

Сертификат Головного УЦ содержит ссылку на структуры хранения СОС подчиненных аккредитованных УЦ. Полученный по данной ссылке СОС используется для проверки статуса сертификатов аккредитованных УЦ как в фоновом режиме, так и при загрузке в систему сертификата с признаком "Сертификат аккредитованного УЦ".

Сертификаты аккредитованных УЦ содержат ссылки на СОС выпущенных ими клиентских сертификатов. Данный СОС используется при фоновой проверке выпущенных данным УЦ клиентских сертификатов, а также при проверке клиентских сертификатов при обращении к ним (импорте либо использовании клиентом).

Помимо этого, сертификат аккредитованного УЦ может содержать ссылки на списки отозванных сертификатов УЦ, в том числе и для данного УЦ.

Фоновая проверка по спискам отозванных сертификатов

В системе Corporate предусмотрена возможность фоновой проверки статусов сертификатов аккредитованных УЦ, а также клиентских сертификатов при помощи запускаемой по расписанию задачи Задача проверки сертификатов по спискам отозванных

Данная задача выполняет проверку на наличие зарегистрированных в системе сертификатов в списках отозванных, полученных по ссылкам из сертификатов Головного УЦ и аккредитованных УЦ. Выполнение задачи осуществляется с учетом временного интервала, заданного свойством конфигурации Настройки криптографии (общие). Срок действия CRL сторонних УЦ (актуальность списка аккредитованных УЦ) (в секундах).

Если системой в ходе выполнения задачи будет обнаружен сертификат аккредитованного УЦ, присутствующий хотя бы в одном списке отозванных сертификатов, сертификат данного УЦ, а также все выпущенные им клиентские сертификаты блокируются.

Проверка клиентских сертификатов выполняется по списку отозванных, загруженному по ссылке, указанной в параметрах сертификата соответствующего УЦ. При фоновой проверке клиентских сертификатов проверка осуществляется только при помощи СОС, без использования OCSP.

Проверка клиентских сертификатов при обращении

Система Corporate выполняет проверку статусов клиентских сертификатов по спискам отозванных сертификатов при условии, что проверяемый клиентский сертификат выпущен УЦ, который присутствует в списке аккредитованных УЦ (см. также разд. «Проверки импортируемых клиентских сертификатов»).

Проверка статуса клиентского сертификата осуществляется при выполнении следующих действий:

При ручном импорте клиентского сертификата.
При автоматическом импорте клиентского сертификата через шлюз с УЦ.
При постановке клиентом подписи с использованием данного сертификата.

Для проверки статусов сертификатов в системе "Corporate" используются следующие механизмы:

Проверка с использованием протокола OCSP (Online Certificate Status Protocol).

Данная проверка выполняется, только если включено использование протокола OCSP (свойство конфигурации Настройки криптографии (общие) Использование OCSP для проверки сертификата имеет значение "true").
Проверка по СОС (CRL, Certificate Revocation List).

Данная проверка выполняется, если отключена проверка по OCSP, либо проверка по OCSP включена, но у системы нет возможности проверить сертификат клиента по протоколу OCSP, или выпустивший сертификат УЦ не поддерживает OCSP.


Проверка цепочек сертификатов		Оповещение клиентов об истечении срока действия сертификата