PKI - CRL和OCSP
我在ADCS和CRL/OCSP中读了不少关于PKI的文章，但我似乎找不到对我仍然有以下几个问题的答案：
在我看来，即使有了OCSP，您仍然需要一个(增量) CRL (OCSP依赖于CRL来检查证书是否有效)，但是客户端拥有访问(delta) CRL的URL也是很重要的。
尚不清楚的是，即使证书中提供了OCSP URL，客户端是否仍将下载CRLs/delta，并且可以与OCSP联系。
在我看来，有意义的是类似于(例如web服务器)：
- 客户端从web服务器获得证书
- 客户端需要验证证书，所以：
- 首先，检查颁发CA是否可信。
- 检查缓存中是否有最近的CRL/OCSP答复，如果有，缓存的回复是否表示证书有效，则完成工作。
- 没有缓存的答复是可用的，所以如果CRL和OCSP都喜欢OCSP而不是CRL列表，并询问OCSP提供者证书是否有效。如果OCSP回复，相信它说的。
- 如果OCSP没有回复/无法联系，那么回退到使用CRL，在这种情况下，将下载并使用CRL。
- 如果CRL列表也不能下载那么..。我们不要再谈这个了，因为这本身就是另一个话题:)
现在，我不确定上述假设是否正确，但即使它们是正确的，也会引发一些其他问题(所有问题都假定上述过程是正确的)：
- 如果证书同时指定了OCSP和CRL，而OCSP未能提供答复，那么客户机将返回到CRL (并缓存它)。那么，当用户下次尝试访问同一个网站时会发生什么呢？考虑到CRL的回复是缓存的，它是否永远相信只要它的TTL没有过期，并且不再试图与OCSP联系？
- 如果没有在证书上提供OCSP，或者OCSP没有提供任何答案，客户端真的只有下载CRL /增量CRL吗？
- 我读过Vista OCSP客户端缓存回复，但找不到关于缓存它们多长时间以及这是否可配置的信息，有人能澄清吗？
回答 1
Security用户
发布于 2019-03-27 15:34:30
RFC 5280 - Internet X.509公钥基础设施证书和证书吊销列表(CRL)配置文件第6.3节只使用CRL描述证书验证--没有提到OCSP。
从RFC 5019的3.1节--适用于大容量环境的轻量级在线证书状态协议(OCSP)中我们可以看到，这一切都相当模糊(从RFC 2119的角度来看)：
3.1。OCSP应答器发现客户端必须支持在authorityInfoAccess中定义的PKIX扩展，并且必须识别id-ad-ocsp访问方法。这使CA能够通知客户如何与OCSP服务联系。如果客户端正在检查包含指向OCSP响应程序的authorityInformationAccess (AIA)扩展和指向CRL的cRLDistributionPoints扩展的证书的状态，客户端应首先尝试与OCSP响应程序联系。如果在本地配置的超时和重试次数之后没有从响应程序接收到OCSPResponse，客户端可能尝试检索CRL。
以上PKIX是指RFC 3280，已被RFC 5280淘汰。
因此，它主要取决于客户端实现的确切处理顺序。
关于最后一个问题(3)，我相信Windows响应会缓存到到期为止(nextUpdate)，除非没有包含到期信息，在这种情况下，它们不会缓存响应。
https://security.stackexchange.com/questions/206215
复制相似问题
腾讯云开发者
