Порядок обработки запросов об аннулировании

Порядок обработки запросов об аннулировании

При формировании политики и развертывании PKI должен быть установлен порядок обработки запросов об аннулировании и обозначен круг лиц, имеющих право обращаться с такими запросами. Обычно запрос об аннулировании сертификата направляет его владелец при утере или компрометации секретного ключа. В некоторых случаях с запросом об аннулировании может обращаться не владелец сертификата, а другое лицо. Например, при увольнении служащего из компании запрос об аннулировании его сертификата может поступить от начальника подразделения, в котором работал служащий. Кроме того, запрос об аннулировании сертификата может быть направлен от УЦ, который выпустил сертификат, или от другого УЦ из сети кросс-сертификации, если обнаруживается, что владелец сертификата нарушил требования политики безопасности или регламента.

После получения запроса об аннулировании сертификата и аутентификации лица, направившего запрос, УЦ вносит изменения в САС. Для управления сертификатами в относительно небольшой PKI обычно применяется прямая публикация аннулированных сертификатов в САС и обеспечивается доступ к нему приложений, проверяющих статус сертификата. Некоторые приложения сохраняют в памяти компьютера последнюю версию списка, что позволяет им работать в автономном режиме и повышает их производительность. Увеличение масштаба PKI и необходимость управлять сертификатами из нескольких доменов порождает проблемы хранения и обработки больших списков аннулированных сертификатов. В процессе выработки политики и проектирования PKI должны быть учтены эти обстоятельства, а также выбраны способ публикации, пункты распространения и тип САС.