Summary

  • Версия 18 проекта BPSec COSE добавляет главу об OCSP: оперативный отзыв долгоживущего сертификата требует онлайн-связи проверяющего узла с ответчиком.
  • Центр сертификации выбирает, включать ли URI OCSP в сертификат. Получатель сам устанавливает правило запроса с учётом ожидаемой доступности сервера.

Bundle может дождаться следующего контакта и прибыть с результатом защиты COSE и сертификатом. Получатель проверит цепочку до доверенного центра. Но вопрос о том, отозван ли сертификат сейчас, требует отдельного ответа. RFC 6960 описывает сетевой запрос OCSP. Новый раздел проекта от 2 ноября разбирает ситуацию, когда пакет доходит, а запрос к серверу статуса — нет. В версии 17 раздела не было. Карточка IETF по-прежнему называет документ проектом стандарта на стадии оценки.

Центр выдачи может вписать адрес ответчика в сертификат.

Узел проверки может включить обязательный запрос, ставить его в зависимость от достижимости URI или принять другую локальную политику.

Проект рекомендует OCSP при наличии интернета и предлагает географическую балансировку либо anycast для удалённых IP-анклавов. Сам адрес канала связи не создаёт.

Для интервала действия сертификата проект требует брать время создания Bundle, а не момент доставки. Эта историческая проверка не сообщает текущий статус отзыва. Другой путь — короткие автоматически возобновляемые сертификаты по RFC 8739. Центр выдачи проверяет NODE-ID онлайн по RFC 9891; промежуточные центры можно приблизить к узлам. Прекращение возобновления ограничивает будущие сертификаты, а уже выданный действует до истечения срока. В официальных документах нет журнала конкретной сети с окнами связи, ответами OCSP и решениями узла; такой журнал изменил бы выбор политики.