证书吊销与 OCSP

证书吊销指在数字证书到期前将其提前作废的机制,用于应对私钥泄露、信息变更或误签发等情况;OCSP 与 CRL 是查询证书是否被吊销的两种主要方式,是公钥基础设施可信运转的关键环节。

概述

数字证书都有有效期,但现实中常需提前作废,例如服务器私钥泄露后必须立即让旧证书失效。为此证书颁发机构提供吊销状态发布服务:CRL(证书吊销列表)是一份由 CA 定期签发的已吊销证书清单;OCSP(在线证书状态协议)则允许客户端就单张证书向服务器实时查询其状态,返回有效、吊销或未知。

核心原理

• CRL:CA 周期性发布被吊销证书的序列号清单,客户端下载比对。
• OCSP:客户端就指定证书在线查询状态,响应更及时、体积更小。
• OCSP Stapling:由服务器代查并把带签名的状态随握手一并送出,减轻查询负担并保护隐私。
• 状态签名:CRL 与 OCSP 响应均由 CA 或其授权方签名,防止伪造。

应用场景

浏览器与操作系统在建立 TLS 连接、验证代码签名、校验邮件证书时都会检查吊销状态。运维在证书疑似泄露后应第一时间申请吊销并更换;服务器端启用 OCSP Stapling 可提升握手效率与用户隐私。

常见问题

问:CRL 和 OCSP 哪个更好?答:CRL 简单但清单大、更新有延迟;OCSP 更实时,而 OCSP Stapling 进一步兼顾性能与隐私,是当前推荐做法。

问:查询失败时浏览器会怎么办?答:多数浏览器采取软失败策略,查询不到时默认放行,这也是短有效期证书被用来降低对吊销依赖的原因之一。