693-> Rejeição : Certificado Assinatura Erro No Acesso A Lcr

[igmaster2000]

pessoal aluem ja passou por este erro, so esta dando em um cliente...

 

 

LCR = Lista de Certificados Revogados

 

mas o certificado do cliente esta normal.

[IMATECH]

Olá

 

Já atualizou cadeia de certificados v2 ( ICP Br ) no micro do cliente ?

 

Sucesso

[IMATECH]

O que é: LCR (Lista de Certificados Revogados)

 

 

 

Quando um certificado digital é emitido, um período de validade de uso é definido. 



Entretanto,
sob diversas circunstâncias, um certificado digital pode tornar-se
inválido antes de sua data de expiração e ser revogado pelo seu
proprietário.

 

Como saber o status dos certificados?

 

 O
usuário não precisa se preocupar como é feita a verificação, porque ao
utilizar seu certificado o sistema operacional consulta automaticamente a
Autoridade Certificadora emissora do certificado para verificar seu
status.



Cada Autoridade Certificadora publica sua lista de certificados digitais revogados. 



A sigla é LCR - Lista de Certificados Revogados. 



A LCR é publicada em um repositório
público e a cada período de publicação a lista é assinada e selada:
Assinada digitalmente por um certificado digital da Autoridade
Certificadora correspondente e recebe um Carimbo do Tempo.



O tempo de publicação das LCRs dependerá
da política de cada tipo de certificado e de cada Autoridade
Certificadora. O padrão atual é a LCR atualizada e publicada de hora em
hora, mas existem casos em que são atualizadas uma vez ao dia.

 

A verificação feita em tempo real é chamada OCSP -  Online Certificate Status Protocol. Segue os mesmos critérios de publicação do LCR, mas a publicação da  revogação é feita em tempo real.



O
Protocolo Online Certificate Status (OCSP) é um protocolo de Internet
utilizado para a obtenção do status de revogação de um X.509 certificado
digital. É descrito no RFC 2560 e segue os padrões da Internet. Foi
criado como uma alternativa para LCR Listas de Revogação de Certificado
(CRL), especificamente abordando alguns problemas associados ao uso de
LCR em uma infra-estrutura de chave pública (PKI).



Mensagens
transmitidas via OCSP são codificados em ASN.1 e geralmente são
transmitidas por HTTP. O "pedido / resposta " dessas mensagens conduz
aos servidores com o protocolo OCSP sendo denominado “OCSP responders”.



Uma vez
que uma resposta do protocolo OCSP contém menos informação do que a LCR
(Lista de Certificados Revogados), a consulta via OCSP permite
informações atualizadas em tempo real sobre o estado de revogação de um
certificado, sem sobrecarregar a rede.

A consulta a LCR e OCSP impede que certificado digital sem validade seja utilizado.



Normalmente o serviço de verificação que
utiliza o protocolo OCSP é exigido pelo mercado financeiro, ou seja,
algumas aplicações dos bancos de investimento só aceitam certificados de
Autoridades Certificadoras que utilizam este protocolo.



Além dos bancos, outros segmentos
deveriam avaliar o risco do “delay”  gerado entre cada atualização da
LCR para entender suas necessidades em relação aos certificados baseado
na política de verificação. Neste caso entre o protocolo OSCP e a  LCR.  



Em
breve acredito que o padrão seja mesmo o protocolo OSCP, mas isso será
uma decorrência da demanda dos desenvolvedores de aplicações com uso de 
certificados digitais. Assim como, acredito que seja disponibilizados
no futuro serviços de consultas online a bancos de LCRs  com datas
retroativas,  no dia e hora que for conveniente aos interessados. Hoje a
maioria dos serviços só possibilitam consultas à listas atualizadas.

Regina Tupinambá

Especialista em Certificação Digital