长期存在的 TLS 连接会带来安全风险吗?

信息安全 tls 证书吊销 ocsp
2021-09-09 00:21:12

我想更好地了解维护长期(数小时、数天)TLS 连接对证书吊销的影响。据我了解 TLS,客户端在握手期间验证服务器的证书,然后在连接期间不再验证。

建立长期连接后,如果要撤销服务器的证书,我希望使用 OCSP 检查撤销的客户端在下次与该服务器建立新连接之前不会发现服务器的证书已被撤销。我想客户端可以在连接打开时定期在后台线程中检查服务器的证书状态,但我不熟悉任何建议以这种方式检查吊销的指南。

通常,具有长连接的 TLS 客户端如何降低证书吊销的风险?他们是否会定期重新建立连接以强制进行新的握手?

1个回答

寻找更多信息的地方可能是使用 SSL/TLS 的 VPN。

例如,使用 OpenVPN,如果客户端连接处于活动状态,您必须明确终止客户端连接:

“...让新的 CRL 对新连接的客户端立即生效。如果您要吊销其证书的客户端已经连接,您可以通过信号(SIGUSR1 或 SIGHUP)重新启动服务器并刷新所有客户端,或者您可以telnet 到管理界面并显式终止特定客户端..."

https://openvpn.net/community-resources/revoking-certificates/

不幸的是,我没有在客户端检查服务器证书上找到任何东西。