Анулювання сертифіката

Застосування сертифіката допустимо тільки поки він достовірний. Небезпечно покладатися на те, що сертифікат буде захищений і надійний вічно. У більшості організацій і у всіх PKI сертифікат має обмежений термін «життя». Це звужує період, в який система може опинитися під загрозою, якщо сертифікат буде зламаний.

Таким чином, сертифікат створюється з певним заданим періодом достовірності, що починається з дати створення (аналогічно терміну придатності харчових продуктів або дії водійських прав). Сертифікат може бути використаний протягом усього періоду дії, після закінчення якого перестає бути вірним, оскільки достовірність його ідентифікаційний-ключової пари більше не може бути гарантована. (Тим не менш, сертифікат і раніше може застосовуватися для підтвердження інформації, зашифрованої або підписаної ним раніше протягом періоду життя; проте він стає непридатний для майбутніх криптографічних потреб.)

Але іноді з'являється потреба зробити сертифікат недійсним до закінчення терміну його життя, наприклад, у випадку звільнення власника сертифіката з цього місця роботи або коли у власника виникає підозра, що закритий ключ даного сертифікату був скомпрометований. Такий процес називається відкликанням або анулюванням. Анульований сертифікат набагато більш підозрілий, ніж минулий. Минулий сертифікат більш непридатний до використання, однак, не несе такої загрози скомпрометованості, як анульований.

Будь-який користувач, який запевнив сертифікат (поручився за взаємозв’язок ключа і відомостей сертифіката), в будь-який момент може відкликати з нього свій підпис, використовуючи той же закритий ключ, яким її створював. Відкликана підпис вказує на те, що завірителя визнав, що відкритий ключ і ідентифікаційна інформація більше не зв'язані один з одним, або що відкритий ключ сертифіката (або закритий) був скомпрометований. Відкликана підпис має практично таке ж значення, як і анульований сертифікат.

У разі сертифікатів Х.509 відкликана підпис фактично являє те ж саме, що і анульований сертифікат, оскільки взагалі лише один підпис була порукою справжності сертифіката - підпис Центру сертифікації. PGP надає додаткову можливість анулювання всього сертифіката (а не тільки підписів на ньому), якщо ви раптом порахуєте, що він був якимось чином скомпрометований.

Тільки власник сертифіката (володар закритого ключа) або хтось, спеціально уповноважений власником (т.зв. «довірений отменітель», designated revoker), може анулювати PGP-сертифікат. (Довіреність третій особі функції анулювання вельми корисно, тому що втрата пароля до закритого ключа, яка часто і є приводом до анулювання, робить виконання цієї процедури самим власником сертифікату неможливою.) Сертифікат Х.509 може бути відкликаний тільки його видавцем - ЦС - за запитом власника.