Summary

  • La revisión 18 de BPSec COSE añade un apartado sobre OCSP: revocar pronto un certificado duradero exige conexión entre verificador y servidor de estado.
  • La autoridad certificadora decide si incluye una URI OCSP; el verificador decide si consulta y puede basar esa política en la accesibilidad prevista del servidor.

El paquete puede esperar horas entre contactos y aun así llegar con un resultado COSE y un certificado. Validar la cadena hasta una autoridad de confianza es una tarea; preguntar si la credencial fue retirada es otra. RFC 6960 define la consulta OCSP. El apartado nuevo del 2 de noviembre explica por qué esa consulta choca con un enlace que desaparece. La revisión 17 no contenía el apartado. El registro de IETF mantiene el documento como borrador de estándar en evaluación.

Un certificado puede anunciar una dirección de respuesta sin regalar conectividad al nodo remoto. El proyecto recomienda usar OCSP cuando haya internet, permite que la política local condicione la consulta a la URI y propone balanceo geográfico o anycast para enclaves IP separados por largas demoras. La colocación del servidor pasa a formar parte del diseño de confianza.

El mismo texto manda evaluar el intervalo de validez del certificado con la hora de creación del paquete, no con su llegada. Ese reloj histórico no aporta por sí solo una respuesta sobre revocación actual.

La salida alternativa usa certificados breves que se renuevan automáticamente según RFC 8739. La autoridad emisora puede validar el NODE-ID en línea mediante RFC 9891 y situarse más cerca del equipo mediante autoridades intermedias. El verificador deja de necesitar una consulta OCSP en cada recepción, pero la credencial ya expedida conserva su plazo hasta caducar. No consta una implantación identificada que mida decisiones del verificador durante una interrupción; un registro de contacto, consulta y aceptación mostraría el resultado operativo.