Bir CA, sertifikayı geçerlilik süresi dolmadan geçersiz kıldığında sertifika "iptal edilmiş" (revoked) sayılır. Chrome'da NET::ERR_CERT_REVOKED uyarısı görürsünüz. İptal, istemcinin CRL (iptal listesi) veya OCSP sorgusu ya da sunucunun gönderdiği OCSP stapling yanıtıyla öğrenilir.
Sertifika neden iptal edilir?
- Özel anahtarın ele geçirildiğinden şüphelenilmesi veya sızması.
- Sertifikadaki bilgilerin yanlış olduğunun anlaşılması ya da doğrulamanın geçersizleşmesi.
- Sahibinin iptal talep etmesi (örneğin hizmet sonlandırma, alan adı devri).
- CA'nın kural ihlali nedeniyle toplu iptal işlemi yapması.
- Yeniden yayınlama (reissue) sonrası eski sertifikanın iptal edilmesi; eski dosyayı kullanan sunucu bu durumda hata verir.
Durumu sorgulama
Sertifikadaki OCSP adresini bulun ve sorgulayın:
openssl x509 -in alanadi.crt -noout -ocsp_uri
openssl ocsp -issuer ara.crt -cert alanadi.crt -url http://ocsp.ornek-ca.com -textYanıtta Cert Status: revoked yazıyorsa sertifika iptaldir. good görüyorsanız sorun başka bir yerdedir; örneğin sunucuda eski bir OCSP yanıtı önbellekte kalmış olabilir.
Çözüm
- Sertifikanın neden iptal edildiğini CA panelinden veya bildirimlerden öğrenin.
- Anahtar sızıntısı söz konusuysa yeni bir özel anahtar ve yeni CSR üretin; eski anahtarı yeniden kullanmayın. CSR oluşturucu bu adımda işinize yarar.
- Yeni sertifikayı alıp kurun, eski dosyaları sunucudan kaldırın.
- Web sunucusunu yeniden yükleyin ve OCSP stapling önbelleğinin yenilendiğini doğrulayın.
Sonuç
İptal edilmiş bir sertifikanın geri alınması beklenmez; yenisini kurmak gerekir. Anahtarlarınızı erişim kısıtlı dizinlerde saklayın ve yayın sonrası durumu SSL kontrol aracıyla gözden geçirin.