Revoke (iptal), bir sertifikanın süresi dolmadan önce artık güvenilmemesi gerektiğini CA'ya bildirmektir. En tipik neden özel anahtarın ele geçirilmesidir; bu durumda gecikmeden hareket etmek gerekir.
Ne zaman iptal edilir?
- Özel anahtar çalındı, sızdı veya sızdığından şüpheleniliyor.
- Alan adının sahipliği değişti veya artık kullanılmıyor.
- Sertifikadaki bilgiler yanlış veya hatalı düzenlendi.
- Kuruluş bilgileri (OV/EV) geçerliliğini yitirdi.
Nasıl işler?
CA, iptal edilen sertifikanın seri numarasını iki yolla yayınlar:
- CRL (Certificate Revocation List): İptal edilmiş seri numaralarının imzalı listesi.
- OCSP: Tek bir sertifikanın durumunu anlık sorgulayan servis.
İstemcilerin iptal kontrolü davranışı değişir; bazı tarayıcılar bunu sınırlı yapar. Bu nedenle iptal, tek başına yeterli koruma değildir: anahtar sızdıysa sertifikayı iptal etmeyle birlikte yeni anahtarla yeniden düzenlemek gerekir.
Adım adım
- Yeni anahtar ve CSR üretin, yeni sertifikayı alıp kurun (kesinti olmaması için önce bu).
- Eski sertifika için iptal talebini sağlayıcı üzerinden açın.
- İptal nedenini doğru belirtin (örneğin key compromise).
- İptalin yansıdığını kontrol edin.
# CRL ve OCSP adreslerini goruntule
openssl x509 -in eski.crt -noout -ocsp_uri
openssl x509 -in eski.crt -noout -text | grep -A2 "CRL Distribution"
İpuçları
- İptal edilen sertifikayı sunucuda bırakmayın.
- Aynı anahtarı başka sertifikalarda da kullandıysanız onları da yenileyin.
- OCSP stapling açık sunucularda yeni durumun yayılması birkaç zaman alabilir.
Bayi olarak tüm sertifika türlerinde iptal mümkün olmayabilir; bazı durumlarda sadece sipariş kaydını iptal edebiliriz. Emin değilseniz iletişim sayfasından Türkçe teknik destek alabilirsiniz. Yeni sertifika için SSL sertifikaları'na bakın.
Sonrasında izleme
İptalden sonra günlüklerinizde eski sertifikayla yapılan bağlantı denemelerini arayın; bunlar eski cihazların veya yanlış yapılandırılmış servislerin yeni sertifikaya geçmediğini gösterir. Anahtar sızıntısı söz konusu ise olay kaydı tutun ve ilgili paydaşları bilgilendirin.