В процессе управления ключами УЦ имеет возможность отзыва выпущенных им сертификатов, что необходимо для досрочного прекращения их действия, например, в случае компрометации ключа. Процедура проверки ЭЦП предусматривает помимо подтверждения ее математической корректности еще и построение, и проверку цепочки сертификатов до доверенного УЦ, а также проверку статусов сертификатов в цепочке.
Таким образом, проверка статусов сертификатов важна для приложений, использующих ИОК, поскольку, например, принятие к обработке подписанного ЭЦП документа, соответствующий сертификат ключа подписи которого аннулирован, может быть впоследствии оспорено и привести к финансовым потерям.
В ОС Microsoft Windows встроена поддержка технологии ИОК. Многие приложения, работающие под управлением этих ОС, используют интерфейс CryptoAPI для осуществления функций криптографической защиты информации. Функции CryptoAPI используют, например, следующие приложения: Internet Explorer, Outlook Express, Outlook, Internet Information Server и др.
По умолчанию CryptoAPI осуществляет проверку статусов сертификатов с использованием СОС (CRL). СОС представляет собой список аннулированных или приостановленных сертификатов, издаваемый периодически – например, раз в неделю. СОС не отражает информацию о статусах в реальном времени, а также имеет ряд других недостатков, которых лишён протокол OCSP – протокол получения статуса сертификата в реальном времени.
Архитектура CryptoAPI предоставляет возможность подключения внешнего модуля проверки статуса сертификата – Revocation Provider.
Основные характеристики КриптоПро Revocation Provider:
- Встраивает проверку статуса сертификатов по протоколу OCSP во все приложения операционной системы.
- Не требует модификации приложений для использования своих возможностей.
- Уменьшает риск стать жертвой мошенничества или понести ответственность.
- Совместим с серверными приложениями.
- Автоматически проверяет статусы сертификатов OCSP-серверов.
- Поддерживает расширение id-pkix-ocsp-nocheck. Если такое расширение присутствует в сертификате OCSP-сервера, то статус этого сертификата не проверяется.
- Автоматически проверяет, уполномочен ли OCSP-сервер Удостоверяющим Центром, издавшим проверяемый сертификат, выдавать информацию о статусе данного сертификата.
- Настраивается через групповые политики.
- Даёт возможность настройки доверия к конкретным OCSP-серверам.
- При невозможности проверки сертификата по протоколу OCSP передаёт его в Microsoft Revocation Provider, который проводит проверку по СОС.
- Может осуществлять соединения по защищённому протоколу TLS (SSL).
- Устанавливается с помощью Windows Installer.
