Spärrkontroller i Common
...
Spärrkontrollen i Common använder sig av både CRL:er (Certificate Revocation List) och OCSP (Online Certificate Status Protocol) för att avgöra om ett certifikat ska förklaras som giltigt. Dessa två sätt att avgöra giltigheten på ett certifikat används i samspel med varandra för att ge ett stabilt system för spärrkontroller. För att avgöra statusen på ett certifikat används antingen CRL eller OCSP som primär källa och det andra sättet blir den sekundära källan och agerar som fallback ifall primära källan inte kan ge ett tillförlitligt svar. Om sekundära källan ska användas som fallback bestäms av den specifika applikationens konfiguration. Om varken CRL eller OCSP kan ge ett tillförlitligt svar på revokeringsstatus blir resultatet en UNDETERMINED_REVOCATION_STATUS.
...
| Egenskap | Defaultvärde | Exempelvärde | Förklaring |
|---|---|---|---|
inera.common.trust.do-revocation-check | true | true | Avgör ifall spärrkontroller ska genomföras överhuvudtaget. |
inera.common.trust.no-fallback | ej definierat, resulterar i false | false | Avgör om fallback-tekniken ska användas när revokeringsstatus inte kan avgöras med hjälp av den primära källan. Exempelvis ifall ingen revokeringsstatus kunde avgöras med hjälp av OCSP ifall applikationen ska falla tillbaka till CRL:erna eller vice versa. |
| inera.common.trust.only-end-entity | ej definierat, resulterar i false | true | Avgör ifall enbart "sista" certifikatet (ex. slutanvändarcertifikatet) i certifikatskedjan ska genomgå spärrkontrollen. |
| inera.common.trust.prefer-crls | ej definierat, resulterar i false | false | Avgör ifall CRL ska användas som primär källa för revokeringsstatus. |
| inera.common.trust.soft-fail | ej definierat, resulterar i false | false | Avgör ifall revokeringskontrollen kan anses som lyckad ifall revokeringsstatusen inte kan avgöras p.g.a. exempelvis nätverksfel. När flaggan är satt till false kan revokeringsstatusen resultera i UNDETERMINED_REVOCATION_STATUS. |
| inera.common.trust.allow-undetermined | ej definierat, resulterar i false | false | Avgör ifall ett certifikat som fått revokeringsstatusen UNDETERMINED_REVOCATION_STATUS ska anses som giltigt eller inte. Har endast effekt ifall inera.common.trust.soft-fail är satt till false. |
| inera.common.trust.max-path-length | 10 | 10 | Max antalet certifikat som får finnas i en certifikatskedja |
| inera.common.trust.use-only-cached-revocation-data | ej definierat, resulterar i false | false | Avgör ifall revokeringskontrollen ska genomföras ifall ingen revokeringsstatus finns tillgängligt för certifikatet. |
| inera.common.trust.dynamically-sort-fallback-order | ej definierat, resulterar i false | false | Avgör ifall prioritetsordningen på cachead revokeringsstatus ska sorteras dynamiskt. Förutsätter att inera.common.trust.no-fallback är satt till false. |
| inera.common.trust.verifier.enable-explicit-ocsp-lookup | true | true | Avgör ifall OCSP data ska hämtas i förväg och komplettera befintlig data innan revokeringskontrollen ska genomföras |
| inera.common.revocation-check-executor.only-end-entity | false | falsetrue | Avgör ifall enbart slutanvändarcertifikatet ska kontrolleras i RevocationCheckExecutor-klassen. |
| inera.common.ocsp-data-service.enable-cache | false | true | Avgör ifall revokeringsdata ska sparas till cachen och hämtas från cachen ifall direktuppslag mot OCSP-respondern misslyckas. |
inera.common.crl-data-service.max-age-seconds | null | 259200 | Anges i sekunder. Avgör maximala livslängden på cachen för CRL:er innan dom anses för gamla. |
| inera.common.crl-data-service.use-old-crls | false | false | Avgör ifall utgångna CRL:er ska användas för spärrkontroll. Utgångstiden styrs av inera.common.crl-data-service.max-age-seconds |
inera.common.crl-data-service.local-cache-ttl-seconds | 1800 | 1800 | Anges i sekunder. Avgör hur länge minnescachen är giltig innan minnescachen behöver uppdateras med uppgifter från Redis-cachen. Prestandahöjande funktion som används för att minska antalet slagningar mot Redis-cachen. |
| inera.common.crl-data-job.fixed-rate-millis | ej definierat | 1800000 | Anges i millisekunder. Avgör frekvensen med hur ofta CRL-jobbet ska köras. |
| inera.common.crl-data-job.end-entity-crl-urls | ej definierat, resulterar i tom lista | http://crl1pp.siths.se/testsithseidpersonhsaid3cav1.crl, \ | Anges som kommaseparerad lista. Avgör vilka extra CRL:er som ska hämtas utöver de CRL:er som återfinns i applikationens inlästa certifikatsutfärdare. |