Che cos'è un elenco di revoche di certificati?
Un elenco di revoche di certificati (CRL) è un componente dello standard di sicurezza X.509 dell'International Telecommunication Union (ITU). Secondo lo standard X.509, un'autorità di certificazione (CA) può utilizzare un elenco CRL per bloccare o revocare esplicitamente qualsiasi certificato di sicurezza digitale che ha emesso e che non è scaduto. Il CRL viene quindi distribuito e utilizzato da vari programmi per computer per confermare la validità dei certificati di sicurezza utilizzati per identificare una fonte.
La generazione di un certificato di sicurezza da parte di una CA rientra nella cosiddetta infrastruttura a chiave pubblica (PKI). Tramite una PKI, qualsiasi utente può essere identificato dalla chiave pubblica della sua coppia di chiavi di sicurezza, mentre la chiave privata dell'utente è l'altra metà della coppia. Un utente quindi contatta un'autorità di certificazione e, utilizzando la sua chiave pubblica come identificazione, richiede un certificato di sicurezza. Dopo aver verificato la reale identità dell'utente, la CA può quindi emettere un certificato associato alla chiave pubblica dell'utente. Con questo metodo, la CA agisce come terza parte attendibile, garantendo l'identità dell'utente a cui è stato rilasciato un certificato.
In genere, un certificato di sicurezza digitale riceve una durata di uno o due anni. Dopo la scadenza del certificato, l'utente deve rinnovare il proprio certificato esistente riconvalidando la propria identità o richiedendo un nuovo certificato. La data di scadenza di un certificato è inclusa nel certificato stesso, quindi il software informatico sa quando non onorare più un certificato scaduto. In alcuni casi, tuttavia, potrebbe essere necessario revocare un certificato prima della data di scadenza. Per tali casi, un'autorità di certificazione deve mantenere un elenco di revoche di certificati che elenca tutti i certificati che non sono scaduti ma che non possono essere considerati attendibili per qualche motivo.
Un elenco di revoche di certificati contiene una serie di possibili motivi per revocare un certificato. Il più comune è che la chiave privata per il proprietario del certificato non è più sicura, a quel punto il certificato rimane nell'elenco fino alla data di scadenza. In questo caso, l'utente deve generare una nuova coppia di chiavi e richiedere un certificato completamente nuovo.
Esistono, naturalmente, altri motivi per cui un certificato può apparire nel CRL. Un certificato può essere elencato se è stato sostituito da un altro o c'è qualche modifica alle informazioni contenute nel certificato sul suo proprietario, o se la stessa CA è stata compromessa, dopodiché la stessa CA apparirà su quello che viene chiamato un elenco di revoca dell'autorità (ARL). Un altro motivo per cui un certificato può apparire su un elenco CRL è perché il certificato viene messo in attesa per qualche motivo. Nel caso di un certificato elencato come detenuto, può essere ripristinato nel CRL successivo distribuito dalla CA. Le numerose e frequenti modifiche allo stato dei certificati di sicurezza digitali indicano che un elenco di revoche di certificati ha in genere un'aspettativa di vita di circa 24 ore, sebbene a volte meno.