Certificate revocation nedir?

Kısa cevap

Certificate revocation, süresi dolmadan güvenilmez hâle gelen bir sertifikanın (key'i ele geçirilmiş, içerdiği bilgi değişmiş ya da artık kullanılmayan) CA tarafından geçersiz ilan edilmesidir. Revocation bilgisi istemcilere iki yolla ulaşır: CA'nın yayımladığı CRL (Certificate Revocation List) ya da anlık OCSP sorgusu; OCSP Stapling'de bu sorguyu sunucu yapıp yanıtı handshake'e ekler. TR7'de revocation, vService'in sunduğu sertifikanın durumunu istemciye iletmek için TLS Security Profile'daki OCSP Stapling ayarında karşılaşılır; internal CA'nın ürettiği sertifikalar ise Issued Certificates (Internal PKI) sekmesinde Status ile izlenir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Certificates & PKI → TLS Security Profiles → Frontend-only Settings	OCSP Stapling	vService sertifikasının CA'dan alınan durum yanıtını (good, revoked) istemciye iletme
Certificates & PKI → SSL/TLS Certificates → Issued Certificates (Internal PKI)	Status: Active, Superseded	Internal CA'nın ürettiği sertifikanın kullanımda mı, yenisiyle değiştirilmiş mi olduğu
SSL/TLS Certificates → sağ tık	Renew Now (internal CA)	Internal CA sertifikasını yeni key ve yeni serial number ile hemen yeniden üretme

Nasıl Çalışır?

• CRL: CA, revoke ettiği sertifikaların serial number'larını imzalı bir listede periyodik olarak yayımlar; istemci listeyi indirip sertifikanın serial number'ını arar (RFC 5280).
• OCSP: İstemci (ya da stapling'de sunucu) tek bir sertifikanın durumunu CA'nın OCSP responder'ına sorar ve imzalı bir yanıt alır (RFC 6960).
• Sertifikada CRL ve OCSP adresleri CRL Distribution Points ve AIA extension'larında taşınır.

TR7'nin internal CA'sı CRL ya da OCSP yayımlamaz; internal CA ile üretilen sertifikaların ömrü Certificate Profiles'taki Lifetime (days) ile sınırlanır ve güvenliği bozulan sertifika Renew Now (internal CA) ile yeni key'le yeniden üretilir (TR7'yi iç CA olarak kullanıp sertifika üretebilir, otomatik yenileyebilir ve iptal edebilir miyim?).

Sık Karıştırılan Noktalar

• "Süresi dolmamış sertifika her zaman geçerlidir." CA süreden önce revoke edebilir; istemci bunu CRL ya da OCSP ile öğrenir.
• "Sertifikayı yenilemek eskisini revoke eder." Yenileme yeni bir sertifika üretir; eski sertifika ayrıca revoke edilmedikçe süresi dolana kadar kriptografik olarak geçerli kalır. Bu yüzden ele geçirilmiş bir key'e ait sertifika, onu veren CA'ya revoke ettirilir.
• "OCSP Stapling revoke edilmiş sertifikayı engeller." Stapling yalnızca durum yanıtını iletir; sertifikanın değiştirilmesi gerekir (OCSP ve OCSP Stapling nedir?).

Dokümantasyonda nasıl yapılır

• SSL/TLS Certificates · Issued Certificates (Internal PKI) Sekmesi
• TLS Security Profiles · OCSP Stapling
• SSL/TLS Certificates · Sağ Tık Menüsü

İlgili sorular

• TR7'yi iç CA olarak kullanıp sertifika üretebilir, otomatik yenileyebilir ve iptal edebilir miyim?
• OCSP ve OCSP Stapling nedir?
• Sertifikada renew ile rekey arasındaki fark nedir?