Vlákno názorů k článku Revokace certifikátů je rozbitá. Opravit ji mají redukované CRL od Martin Vancl - > Velký balík dat pak převede do velmi...

Jenže když soubor zmenšíte, zvýšíte tím pravděpodobnost false positive, takže se častěji budete muset dotazovat na skutečný stav certifikátu. Přičemž celé se to dělá proto, abyste tenhle počet dotazů snížil. Seznam odvolaných certifikátů potřebujete pro všechny certifikační autority, které máte zařazené jako důvěryhodné, plus jim podřízené autority. Asi nechcete čekat na stažení seznamu nebo síta odvolaných certifikátů teprve v okamžiku, když vám server předloží svůj certifikát – a to ani výjimečně.

Ach chybaju mi casy ked bol internet decntralizovany.

Znizzit velkost bloom filtra pre samotnu CA sa da bez straty presnosti na false positive, lebo obsahuje menej revokovanych certifikatov. Navyse v nom budu viac menej same nuly, takze pojde velmi dobre skomprimovat.

Zoznam revokovanych certiikatov je potrebny len pre autority, ktore realne porebujete napriklad navstivite web, kde vydali SSL certifikat.

Decentralizovaný internet je hezká věc, ale když máte tři požadavky –bezpečnost, rychlost a decentralizovanost – nemůžete mít všechny najednou.

Předpokládám, že ta velikost 1 MB je už po kompresi a očekává, že právě ta komprese způsobí, že součet velikostí pro jednotlivé autority bude větší, než jeden soubor pro všechny. Ale je pravda, že ten jeden soubor pro jednu autoritu nebude stejně velký, jako ten pro všechny CA, to jsem přehnal.

Ano, seznam CRL potřebujete jen pro certifikáty, které ověřujete. Zároveň ale nikdo nechce čekat na stažení CRL v okamžiku, kdy chce navštívit nějaký web.

> Zároveň ale nikdo nechce čekat na stažení CRL v okamžiku, kdy chce navštívit nějaký web.

Proč při návštěvě? Prohlížeč by si mohl periodicky stahovat tyto malé CRL na pozadí každých X hodin.

Protože předřečník navrhoval, že se budou stahovat CRL jen od těch CA, co budou potřeba - což zní docela rozumně, protože sice trusted CA jsou stovky, ale tipuju, že weby, které navštěvuju, jich dohromady používají třeba deset; ostatní jsou třeba populární pro lokální služby v jiných částech světa nebo tak něco. Ale to pak vyžaduje, že při vstoupení na web používající nějakou takovou CA se to musí stáhnout on demand.

Většina certifikátů určitě bude od Let`s Encrypt. Jenže zajímavé weby budou mít exotičtější certifikáty - například kvalitnější placené od světových CA, třeba banky nebo velké instituce; nebo kvalitnější placené od lokálních CA spadajících pod místní jurisdikci, třeba v EU dle eIDASu, třeba veřejné instituce; nebo vlastní podřízenou CA jako velké firmy, třeba Google. A to nejsou zrovna weby, které by rády slyšely, že si uživatel na jejich načtení holt počká. Navíc by to byl další kamínek do soukolí placených certifikačních autorit: "certifikát od nás je sice dražší, ale zase se vám bude pomaleji načítat web"... A kdo by o tom rozhodoval, které autority budou mít v prohlížeči CRL už předstažený a na které se bude muset čekat?

Zkrátka technicky by to samozřejmě řešitelné bylo, ale prakticky by z toho bylo víc problémů než užitku.

Zaujimave, ze doteraz s tym problem nembol.

Tak si to zhrnme, tymto super riesnim zabijeme akykolvek trust ci dany certifikat bol revokovany, dame vsetku moc nad internetom jednej entite a prehladace sa budu zas spravat inak ako zvysok systemu. A to sa vyplati.

A neplte sem eidas, to len ukazuje, ze o tom moc neviete.

Zaujimave, ze doteraz s tym problem nembol.
Zkusím hádat – že by to bylo tím, že se to teď takhle nepoužívá? Protože prohlížeče používají buď OCSP nebo stahují CRL ke všem certifikátům, které mají uložené v úložišti důvěryhodných certifikátů.

tymto super riesnim
Které myslíte? To popsané v článku nebo to popsané Martiemn Vanclem?
To řešení popsané v článku nic nezabíjí, pořád máte možnost používat OCSP nebo CRL.

dame vsetku moc nad internetom jednej entite
Nesmysl. Každý prohlížeč si tu centrální část implementuje sám. A prohlížeči musíte důvěřovat tak jako tak.

prehladace sa budu zas spravat inak ako zvysok systemu
Což je ale problém toho zbytku systému. Když prohlížeč potřebuje nějakou funkcionalitu, kterou mu systém neposkytuje, co má dělat?

A neplte sem eidas, to len ukazuje, ze o tom moc neviete.
No tak se pochlubte, co jsem podle vás napsal o eIDASu špatně.

Já si teda ze školy matně pamatuju že velikost Bloomova filtru pro danou pravděpodobnost kolize roste lineárně s počtem prvků, a náhodná stránka co jsem vygooglil a Wikipedie si to myslí taky.