【要約】Revocation of X.509 Certificates [Hacker_News] | Summary by TechDistill
> Source: Hacker_News
Execute Primary Source
// Discussion Topic
証明書の失効管理における技術的限界。
- ・CRLのリスト肥大化による通信・メモリ負荷。
- ・OCSPによるプライバシー侵害とレイテンシ問題。
- ・CAの可用性に依存する単一障害点（SPOF）のリスク。
- ・Fail-open/Fail-closedの設計判断の難しさ。
// Community Consensus
既存手法への強い不信感。
- ・CRL派: ほぼ否定。リストが巨大すぎて実用的でない。
- ・OCSP派: 懸念大。プライバシーと可用性に致命的な欠陥。
- ・短寿命証明書派: 最有力。失効管理を有効期限に集約する手法。
// Alternative Solutions
- ・OCSP Stapling（サーバー側での応答付与）
- ・短寿命証明書（Let's Encrypt等の活用）
- ・CRLite / OneCRL（ブラウザによる圧縮リスト）
// Technical Terms
Senior Engineer Insight
> 大規模トラフィック環境では、OCSPの追加RTTは致命的。Fail-open設定はセキュリティの妥協。短寿命証明書への移行が唯一の解。ただし、更新自動化の失敗は全サービス停止を招く。自動化の堅牢性が、運用の生命線となる。既存の失効メカニズムに依存するのは、設計上のリスクが高い。