最近 Mozillaは、新しい証明書検出メカニズムの立ち上げを発表しました 失効 「CRLite」と呼ばれ、Firefoxの夜間バージョンにあります。 この新しいメカニズム 検証を整理することができます 効果的な証明書失効 ユーザーのシステムでホストされているデータベースに対して。
これまでに使用された証明書の検証 ベースの外部サービスを使用して OCSPプロトコルで （オンライン証明書ステータスプロトコル） ネットワークへのアクセスを保証する必要があります。 これにより、要求の処理に顕著な遅延（平均350ミリ秒）が発生し、機密性の問題が発生します（要求に応答するサーバーは、OCSPが特定の証明書に関する情報を取得し、ユーザーが開くサイトを判断するために使用できます）。
さらに CRLに対するローカル検証の可能性があります （証明書失効リスト）、 ただし、この方法の欠点は、ダウンロードされるデータのサイズが大きいことです。：現在、証明書失効データベースは約300 MBを占有し、その成長は続いています。
Firefoxは一元化されたOneCRLブラックリストを使用しています 2015年以降、認証局による侵害された証明書や取り消された証明書をブロックし、Googleの安全なブラウジングサービスにアクセスして、悪意のあるアクティビティの可能性を特定しています。
OneCRL、ChromeのCRLSetsのように、 認証局のCRLリストを集約する中間リンクとして機能します また、取り消された証明書を検証するための単一の集中型OCSPサービスを提供し、認証局に直接要求を送信しないようにします。
デフォルトでは、 OCSPで確認できない場合、ブラウザは証明書が有効であると見なします。 こうして ネットワークの問題によりサービスが利用できない場合 および内部ネットワークの制限 または、MITM攻撃中に攻撃者によってブロックされる可能性があること。 そのような攻撃を避けるために、 Must-Stapleテクニックが実装されています。 これにより、OCSPアクセスエラーまたはOCSPアクセス不能を証明書の問題として解釈できますが、この機能はオプションであり、証明書の特別な登録が必要です。
CRLiteについて
CRLiteを使用すると、取り消されたすべての証明書に関する完全な情報を提供できます。 簡単に再生可能な構造で わずか1MBで、CRLデータベース全体を保存できます クライアント側で。 ブラウザは、取り消された証明書のデータのコピーを毎日同期することができ、このデータベースはどのような条件下でも利用できます。
CRLiteは、証明書の透明性からの情報を組み合わせます。 発行および取り消されたすべての証明書の公開記録とインターネット証明書スキャンの結果（認証センターのさまざまなCRLリストが収集され、すべての既知の証明書に関する情報が追加されます）。
データはブルームフィルターを使用してパックされます、欠落しているアイテムの誤判定を許可するが、既存のアイテムの省略を除外する確率的構造（つまり、有効な証明書に対して誤検知が発生する可能性はありますが、失効した証明書は確実に検出されます）。
誤警報を排除するために、CRLiteは追加の修正フィルターレベルを導入しました。 構造が構築された後、すべてのソースレコードが一覧表示され、誤警報が検出されます。
この検証の結果に基づいて、最初の構造をカスケードし、発生した誤警報を修正する追加の構造が作成されます。 検証中に誤検知が完全に排除されるまで、この操作が繰り返されます。
通常また、すべてのデータを完全にカバーするには、7〜10層を作成するだけで十分です。 定期的な同期によるデータベースの状態はCRLの現在の状態よりもわずかに遅れているため、CRLiteデータベースの最後の更新後に発行された新しい証明書の検証は、OCSPステープリング技術の使用を含むプロトコルOCSPを使用して実行されます。 。
MozillaによるCRLiteの実装は、無料のMPL2.0ライセンスの下でリリースされています。 データベースとサーバーコンポーネントを生成するコードは、PythonとGoで記述されています。 データベースからデータを読み取るためにFirefoxに追加されたクライアントパーツは、Rust言語で準備されています。