Почему удостоверяющие центры не соблюдают требование CA/Browser к сертификатам

Все блоги / Про интернет 13 июля 2020 361

Ежегодно форум CA/Browser обновляет базовые требования к серверным SSL/TLS-сертификатам (Baseline Requirements или BR). Одно из таких требований указано в пункте 4.9.9 с пометкой MUST: Ответы по OCSP (протокол статуса онлайн-сертификатов) ДОЛЖНЫ соответствовать RFC 6960 и/или RFC 5019. OCSP ответы ДОЛЖНЫ либо: Иметь подпись УЦ, выдавшим сертификаты, чей статус отзыва проверяется, или Иметь подпись OCSP Responder, сертификат которого подписан УЦ, выдавшим сертификаты, чей статус отзыва проверяется В последнем случае подписывающий сертификат OCSP ДОЛЖЕН содержать расширение типа id-pkix-ocsp-nocheck, как прописано в RFC 6960. Именно это правило нарушают практически все удостоверяющие центры (УЦ), что имеет некоторые последствия. Читать дальше →

Источник: Хабрахабр

Оцените публикацию

💬 Комментарии

В связи с новыми требованиями законодательства РФ (ФЗ-152, ФЗ «О рекламе») и ужесточением контроля со стороны РКН, мы отключили систему комментариев на сайте.

🔒 Важно Теперь мы не собираем и не храним ваши персональные данные — даже если очень захотим.

💡 Хотите обсудить материал?

Присоединяйтесь к нашему Telegram-каналу:

https://t.me/blogssmartz

Нажмите кнопку ниже — и вы сразу попадёте в чат с комментариями

предыдущая статья

следующая статья

Похожие публикации

Добиваемся OCSP stapling = Yes для сертификатов от WoSign на Nginx

Доброго времени суток, Хабражители. Прочитав статьи №1 и №2 (про бесплатные SSL сертификаты от китайских друзей WoSign столкнулся с тем, что многие не могут добиться OCSP stapling = Yes для этих сертификатов. Хочу рассказать как этого добился я. Мы получили сертификат WoSign, залили на сервер. И

подробнее »

27 марта 2015

PKI (Public Key Infrastructure) с помощью JavaScript? Теперь это возможно с помощью библиотек PKIjs и ASN1js!

Представляю вашему вниманию две библиотеки, реализующие практически полный спектр требуемого функционала для организации инфраструктуры PKI: PKIjs и вспомогательную библиотеку ASN1js.Библиотеки свободны доступны и распространяются по лицензии, позволяющей использовать их код без особых ограничений,

подробнее »

5 мая 2014

Новые отраслевые требования: Удостоверяющие Центры прекращают выпускать 3-летние SSL-сертификаты с 1 марта 2018 года

С 1 марта 2018 года Certification Authority/Browser Forum (CA/B Forum) вводит новые требования для всех Удостоверяющих Центров: максимальный срок действия всех типов SSL-сертификатов не должен превышать 825 дней (27 месяцев). Решение было принято на голосовании 193. Единогласно – за высказались 24

подробнее »

5 февраля 2018

Python и графический интерфейс для утилит командной строки Network Security Services

Пакет Network Security Services (NSS) представляет собой набор библиотек, используемых при кроссплатформенной разработки защищенных клиентских и серверных приложений. Приложения построенные с использование NSS могут использовать TLS от v1.0 до TLS v1.3, PKCS #5, PKCS #7, CMS, PKCS #11, PKCS #12,

подробнее »

16 августа 2017

Medium Weekly Digest (26 Jul – 2 Aug 2019)

Те, кто способен отдать свою свободу, чтобы обрести недолговечную защиту от опасности, не заслуживает ни свободы, ни безопасности. — Бенджамин Франклин Данный дайджест призван повысить интерес Сообщества к проблеме приватности, которая в свете последних событий становится как никогда прежде

подробнее »

2 августа 2019

Сертификаты SSL, SHA-1 и nic.ru

Cообщение полугодовой давности о том, что в ближайшем будущем MS & Google будут считать некоторые сертификаты серверов «недоверенными». Как следствие, в браузерах сервер будет не «зелёненьким», а «красненьким», что совсем не понравится клиентам.

подробнее »

14 апреля 2015