O que é o formato de ficheiro CRL?
Arquivos com a extensão .crl são usados em tecnologia de certificados digitais e infraestrutura de chaves públicas (PKI).
O que os arquivos CRL contêm?
O conteúdo dos arquivos .crl são listas de revogação de certificados. Estas são usadas por servidores web e sistemas PKI para garantir a comunicação segura na Internet. As listas de revogação de certificados armazenadas em arquivos .crl enumeram certificados que foram revogados, por exemplo, devido à divulgação da chave privada usada para criar o certificado, ou porque o status do titular do certificado mudou. Os arquivos .crl contêm informações sobre o número de série de cada certificado, sua data de revogação e o nome distinto do emissor. Os certificados listados em arquivos .crl podem estar em dois estados:
- Suspenso, com a opção de restauração,
- Revogado, sem a possibilidade de renovação.
A decisão de adicionar um certificado específico a uma .crl é tomada pelo seu emissor - a Autoridade Certificadora (CA). Graças aos arquivos .crl, os administradores são capazes de restringir efetivamente o tráfego de rede gerado por entidades que perderam sua certificação.
Como os arquivos CRL são codificados?
Os arquivos .crl são codificados no formato ASN.1 e existem em duas codificações: DER binário (Distinguished Encoding Rules) ou PEM baseado em texto (DER encapsulado em Base64 entre os marcadores -----BEGIN X509 CRL----- e -----END X509 CRL-----). O DER binário é a forma mais comum. Um certificado .cer da mesma CA é necessário para verificar a assinatura digital da CRL antes de confiar em seu conteúdo.
Distribuição de CRL e alternativas
As CAs publicam arquivos .crl em URLs listadas na extensão CRL Distribution Points (CDP) de cada certificado de entidade final. As CRLs Delta listam apenas as alterações desde a última CRL completa, reduzindo o tamanho do download para grandes CAs cujas listas completas podem chegar a vários megabytes. O OCSP (Online Certificate Status Protocol) permite verificações de status de revogação em tempo real por certificado sem baixar a lista completa, mas os arquivos .crl permanecem obrigatórios em muitos ambientes PKI empresariais e governamentais.
Segurança e proteção
RISCO: LOWArquivos CRL são metadados PKI somente leitura assinados por uma CA confiável; eles não apresentam risco de execução. Uma CRL forjada ou desatualizada pode levar um sistema a confiar em certificados revogados, mas isso é um problema de configuração de PKI, não uma preocupação de segurança do arquivo. Sempre busque CRLs das URLs de CDP incorporadas nos certificados ou dos endpoints oficiais LDAP/HTTP da CA.
Detalhes do formato
em resumo- Cache de CRL do Repositório de Certificados do Windows - O Windows armazena CRLs baixadas no repositório de certificados do sistema; mesmo formato DER, acessado via CryptoAPI/certutil.
Programas que abrem arquivos CRL
Windows2 apps
certutil (built-in)
Integrado Execute: certutil -dump file.crl - exibe o conteúdo da CRL em formato de texto.
OpenSSL for Windows (Win64 OpenSSL)
Código aberto Execute: openssl crl -in file.crl -inform DER -text -noout (adicione -inform PEM para CRLs PEM) 
macOS2 apps
Keychain Access (built-in)
Integrado Clique duas vezes em um arquivo CRL para adicioná-lo às Chaves; ou arraste para o Acesso às Chaves para inspeção. 
Linux1 app
Detalhes técnicos
especificação profunda| Formatos de codificação | DER binário (Distinguished Encoding Rules) ou PEM encapsulado em Base64 |
| Ordem dos bytes | Big-endian (ASN.1 DER) |
| Tipo MIME | `application/pkix-crl` (DER); `application/x-pkcs7-crl` (variante encapsulada em PKCS#7) |
| Bytes mágicos (DER) | `0x30 0x82` no deslocamento 0 - tag ASN.1 SEQUENCE seguida pela codificação de comprimento |
| Marcadores PEM | Encapsulado entre `-----BEGIN X509 CRL-----` e `-----END X509 CRL-----` |
| Padrão | X.509 v2 CRL; IETF RFC 5280 |
| Estrutura principal | TBSCertList: DN do emissor, carimbos de data/hora thisUpdate/nextUpdate, lista de números de série com datas de revogação e códigos de motivo |
| Códigos de motivo de revogação | RFC 5280 CRLReason: keyCompromise, affiliationChanged, superseded, cessationOfOperation, certificateHold, removeFromCRL |
| Assinatura | Assinatura digital da CA (RSA, ECDSA ou DSA) sobre TBSCertList; deve ser verificada contra o certificado da CA |
| Suporte a CRL Delta | A extensão BaseCRLNumber marca uma CRL delta listando apenas alterações incrementais desde a CRL base |
| Mecanismo de distribuição | A extensão X.509 CRL Distribution Points (CDP) em certificados de entidade final contém a URL de download |
| Tamanho de arquivo típico | 1 KB - 5 MB (escala com o número de certificados revogados por CA) |
| Alternativa em tempo real | OCSP (RFC 6960) fornece status de revogação por certificado sem baixar a CRL completa |
| Lançado | 1988 (X.509 v1 CRL); v2 CRL defined in RFC 2459 (1999), updated RFC 5280 (2008) |
| Versão mais recente | X.509 v2 CRL (RFC 5280, 2008) |
| Padrão aberto | Sim · livre de royalties |
| Especificação | www.ietf.org |
Conversões de CRL
Perguntas e Respostas da Comunidade
perguntado por usuáriosAinda não há perguntas - seja o primeiro a perguntar sobre arquivos CRL.
