証明書に時間制限があるのはなぜですか？
証明書の有効期間が5年などに制限されていても、2年後になんらかの形で侵害された場合、残りの3年が無効になるのを待つことは、侵害の問題に対する実際の解決策ではありません。 （3年はITで永遠だと思います）
また、暗号化方式が解読された場合（WEPの場合）、すべてをすぐに更新する必要もあります。
時間の有効性を制限する利点は何ですか（発行者が定期的にお金を稼ぐことを除いて、つまり）。
technicalの理由は、CRLのサイズを制御するためです。CRLは、取り消された証明書のシリアル番号をリストしますが、それ以外の場合はまだ有効で、特に有効期限が切れていない証明書の場合のみです。有効期限が切れると、失効した証明書が無期限に蓄積され、時間の経過とともに巨大なCRLが発生します。
ただし、ネットワーク帯域幅は増加し続けており、最近の取り消しでは [〜＃〜] ocsp [〜＃〜] を使用しているため、このようなインフレーションの影響を受けないため、この技術的な理由は証明書の主な原因ではありません有効期限。実際には、証明書は次の理由で期限切れになります。
慣性：有効期限は常に設定しているため、有効期限を設定しています。情報セキュリティの伝統はしばしばドグマにつながります。セキュリティが関与している場合、人々は長年の習慣を変えることに関して非常に抑制されていると感じます。
Mistrust：理想的には、証明書の所有者は、技術の進歩により鍵が不十分になる場合（たとえば、768ビットのRSAがあったため、証明書の所有者は更新を求める必要があります） 1996年に元の状態に戻しました）。しかし、そうではありません。有効期限により、予測可能なタイミングで更新が行われ、段階的でプロアクティブな進化が可能になります。
混乱：有効期限は、頻繁なキーの更新が必要なコンピュータの登場前の、初期の軍事暗号システムのハウスキーピングプラクティスの翻訳と見なすことができます。そのようなシステムの弱点に対処します。一部の人々は、証明書の有効期限が何らかの形でその慣行を実装していると考えています（これは時代遅れですが、ちょっと、伝統は伝統です）。
相互運用性：X.509の既存のデプロイ済み実装では、有効期限付きの証明書が必要です。フィールドはオプションではありません。さらに、これらの実装の一部は、2038年1月以降の日付を拒否します（これが 2038年の問題 です）。
Greed：あなたが証明書を販売するビジネスのCAである場合、まあ、人々は毎年新しいものを購入しなければならないときに本当にそれが好きです基礎。
証明書には有効期限がありますが、いつでも取り消すことができます。失効行為により、その証明書のシリアル番号が証明書失効リスト（CRL）に配置されます。各証明書には、その証明書の発行者が最新のCRLを発行した場所へのリンクが含まれます。つまり、証明書が不要になった場合、またはセキュリティが侵害された場合、その証明書の所有者またはサブジェクトは、証明書の失効を要求できます。証明書チェーンの検証中に、すべての証明書がチェックされ、取り消されたかどうかが確認されます。証明書がリストに表示されている場合は、信頼できません。
証明書にはいくつかの理由で有効期間があります。まず、キーの長さ。有効期間は、証明書の有効期間中に証明書のキーの長さが「理論的に」壊れないように設定されています。また、キーは再発行するのではなく、再生成する必要があります。これは、秘密鍵の使用法X.509拡張を使用することによって実施できます。
次に、証明書チェーンでは、最も信頼できる証明書のキーの長さが最も長くなります。ルート証明書を見ると、通常これらには少なくとも4096ビットのRSAキーがあることがわかります。証明書の有効期間も長くなります。ルート証明書の場合は、10〜20年です。これは、PKIの階層に大きく依存します。 PKI階層は通常2層または3層です。例えば。 RootCA-> PolicyCA-> IssuanceCAまたはRootCA-> IssuanceCA。 CAの秘密鍵は、証明書の有効期間の半分の長さでのみ使用する必要があります。 3層階層の場合、証明書の有効期間は次のようになります。
ルートCA（20年）->ポリシーCA（10年）->発行CA（5年）->エンドエンティティ（最大2年）。
CAの秘密鍵の使用期間は次のとおりです。
ルートCA（10年）->ポリシーCA（5年）->発行CA（最大2年）。
これを行う理由は、親証明書が無効になったために、ルートCAの下で発行された証明書がすべて無効になることはないためです。上記の例では、ポリシーCAの2番目のcertificateは、ルートCAの2番目のkeyの下で発行されますが、最初の証明書はルートCAのものであり、まだ有効です。ルートCAの2番目のcertificateは、ポリシーCAの2番目の証明書の直前の10年後に発行されます。
盗まれた証明書を泥棒が使用できる時間を制限します。証明書取り消しリストは存在しますが、証明書所有者（または発行者）が実際に通知して証明書を取り消すように機能する場合にのみ機能します。
あなたの質問がHTTPSプロトコルで使用される証明書にのみ関連するのか、もっと一般的に言えば、有効期限が関係するWeb以外の用途があります。
たとえば、証明書が一時的な認証方法として内部的に使用されるシステムに遭遇しました。セッショントークンのように、発行元のCAが発行した証明書の記録がなく、証明書を取り消す方法がありませんでした。
唯一の軽減策は有効期間を大幅に短縮することでしたが、新しい証明書が常に発行されていたため、長期的な理由はありませんでした。
妥協の場合には
- セキュリティホールのオープン（または妥協の可能性）
- 本当の妥協
- 妥協の終わり
- 妥協の使い方
これらは4つの異なる行為であり、主に非常に異なる時間に発生し、常にこの順序で発生するわけではありません。
証明書の期限が切れると、攻撃者が使用できる時間間隔が大幅に短くなるため、攻撃が成功する可能性が低くなります。