X.509 인증서에서 "유효 기간"의 목적은 무엇입니까?

Question

이 질문과 관련이 있다고 생각되는 RFC 2459 (인터넷 X.509 공개 키 인프라 인증서 및 CRL 프로필) 부분을 읽었습니다. 그러나, 나는 인증서의 유효 기간 (구체적으로 만료일)의 목적이 무엇인지 완전히 명확하지 않습니다.

인증서의 목적은 공개 키를 인증 할 수있는 방식으로 (X.509에서 인증 기관을 통해 또는 OpenPGP를 통해 신뢰 웹을 통해) 바인딩하는 것입니다. . 따라서 인증서가 생성 될 때부터 해당 개인 키가 손상 될 때까지 (또는 직원이 해고되는 시점까지) 유효한 것으로 보이며,이 경우 인증서 해지 목록에 보관됩니다 (나는 믿는다).

어떤 상황에서 이것이 사실입니까? 왜 신원을 공개 키에 바인딩하는 것이 갑자기 무효가 될 수 있습니까? 나는 대부분의 인증 기관이 상업적 기업이기 때문에 반복적 인 수수료를받는 것이 수익성이 있다고 생각하지만 공개 키로 간단하게 서버의 사용자 이름을 바인딩하는 인증서를 무료로 생성하는 오픈 소스 프로젝트를 만들고 있습니다. , 사용자의 암호는 CA에 대한 자신의 신원을 확인하는 데 사용됩니다 (물론 해시 된 암호를 저장합니다).

Answer 1

아이디어는 개인 키가 유출 된 경우 기회 창을 줄이는 것입니다. 손상된 당사자가이를 알고있는 경우에만 해지가 가능합니다. 또한 기존 폐기 메커니즘은 완전히 신뢰할 수 없으므로 고정 된 만료 날짜가있는 것이 좋습니다.

Answer 2

나는 상업적인 측면과 관련하여 자신의 질문에 답을 해주셨습니다. 하지만 여기에 또 하나 던질 게.

이것은 부분적으로 처음부터 분실되었다는 것을 모를 때 손실을 방지하기위한 것입니다. 즉, 인증서 폐기 목록에 표시되는 유일한 시간은 누군가 이을 침해했다는 것을 알고있는 경우입니다. 키가 새로 고쳐 지도록 강제하는 방법을 사용하면 키가 손상되었다는 것을 모르는 경우가 많이 있습니다.

예전처럼 스파이가 매일 바꾼 암호를 사용한 것과 같습니다. 그들은 이전 키들이 손상되었다고 생각하는 것이 아니며, 키가 손상된 경우 아무런 생각이 없다는 이유로을 가지고 있기 때문에 바뀌었다.

또 다른 예로 90 일마다 암호가 만료됩니다. 잃어버린 것으로 알려져 있기 때문에 만료되지 않습니다. 그것은 케이스에서 만료됩니다. 그것은 분실되었으며 당신은 그것을 모릅니다.