CyberGlossary

Seguridad de red

Lista de revocación de certificados (CRL)

También conocido como: CRL, Lista de revocación

Definición

Lista firmada y publicada periódicamente por una CA con los certificados invalidados antes de su caducidad natural, que los validadores consultan para detectar certificados revocados.

Una CRL es un documento firmado por la CA que contiene los números de serie y fechas de revocación de los certificados que ya no deben considerarse de confianza, normalmente porque se comprometió la clave privada, cambió el titular o se emitieron por error. Los validadores —navegadores y clientes TLS— descargan la CRL desde la ubicación indicada en la extensión CRLDistributionPoints y rechazan cualquier certificado cuyo número de serie aparezca en ella. Las CRLs funcionan sin conexión una vez almacenadas en caché, pero pueden volverse muy grandes y desactualizarse en horas o días, por lo que OCSP con stapling, certificados de corta duración y listas comprimidas tipo CRLite ganan terreno.

Ejemplos

  • Una CA publica crl.ejemplo/ca.crl cada 24 horas para que los clientes refresquen la lista.
  • Una pasarela VPN carga la CRL de su CA al iniciar y rechaza los certificados de cliente revocados.

Términos relacionados