CyberGlossary

Netzwerksicherheit

Zertifikatsperrliste (CRL)

Auch bekannt als: CRL, Sperrliste

Definition

Eine von einer CA signierte, regelmäßig veröffentlichte Liste von Zertifikaten, die vor Ablauf widerrufen wurden; Relying Parties prüfen damit, ob ein Zertifikat noch gültig ist.

Eine CRL ist ein von der CA signiertes Dokument mit Seriennummern und Sperrdaten der Zertifikate, denen nicht mehr vertraut werden soll — typischerweise wegen Kompromittierung des privaten Schlüssels, Identitätsänderung oder Fehlausstellung. Relying Parties (Browser, TLS-Clients) laden die CRL über die in der Erweiterung CRLDistributionPoints angegebene Adresse und lehnen jedes Zertifikat ab, dessen Seriennummer dort steht. CRLs funktionieren nach dem Caching offline, können aber sehr groß werden und mehrere Stunden veraltet sein. Deshalb setzen moderne Deployments zunehmend auf OCSP, OCSP-Stapling, kurzlebige Zertifikate und komprimierte CRLite-ähnliche Listen.

Beispiele

  • Eine CA veröffentlicht alle 24 Stunden crl.example/ca.crl, damit Clients die Sperrliste auffrischen können.
  • Ein VPN-Gateway lädt beim Start die CRL seiner CA und weist gesperrte Client-Zertifikate zurück.

Verwandte Begriffe