Summary

  • BPSec COSE 제18판은 OCSP 절을 새로 넣었다. 유효기간이 긴 인증서를 신속히 폐기하려면 검증 노드에서 응답 서버까지 온라인 경로가 있어야 한다.
  • 인증기관은 인증서에 OCSP 주소를 넣을지 고른다. 수신 노드는 서버에 닿을 가능성을 따져 조회 정책을 정한다.

번들은 끊긴 링크를 기다렸다가 보안 결과와 인증서를 싣고 다음 노드에 도착한다. 수신 측은 신뢰하는 인증기관까지 인증서 경로를 검증할 수 있다. 지금 폐기된 인증서인지는 별도의 질문이다. RFC 6960의 OCSP는 그 질문을 네트워크 너머의 서버에 보낸다. 11월 2일 개정안은 번들 경로가 열려도 상태 서버 경로가 막힐 수 있음을 새 절에서 다룬다. 제17판에는 없던 내용이다. IETF 기록상 문서는 여전히 평가 단계의 표준 초안이다.

인증기관이 주소를 적는 일과 수신 노드가 그 주소로 조회하는 일은 다르다. 초안은 인터넷 연결이 있을 때 OCSP 확인을 권장하고, 응답 서버의 예상 도달성을 정책에 반영할 수 있게 한다. 떨어진 IP 구역에는 지역별 부하 분산이나 애니캐스트가 제안된다. 주소가 적혀 있다는 사실만으로 먼 노드의 연결은 보장되지 않는다.

인증서 유효기간은 번들의 도착 시간이 아니라 생성 시간을 기준으로 검사한다. 이 과거 시점 검사는 현재의 폐기 여부를 알려 주지 않는다. 다른 방안으로 RFC 8739의 단기 자동 갱신 인증서가 제시된다. 발급기관은 RFC 9891에 따라 NODE-ID를 온라인으로 검증하며, 중간 인증기관을 장비 가까이에 둘 수 있다. 갱신을 멈추면 다음 인증서는 나오지 않지만 이미 발급된 인증서는 만료 때까지 남는다. 실제 네트워크에서 단절 구간, OCSP 응답, 수신 결정을 함께 기록한 자료는 공식 문서에 없다. 그 기록이 정책 선택을 바꿀 수 있다.