OCSP vs CRL — 什么是差集?

CRL (Certificate Revocation 列表) 是列表的所有 revoked serial numbers — 它能够是大和慢到下载. OCSP 是实数-时间查询为单个 certificate's 状态. OCSP stapling combines best 的两者: 实数-时间状态无客户端 round-trip.

什么如果 OCSP responder 是下?

服务器 cannot staple 响应和 falls 回到正态 handshake. 客户端可以然后检查 OCSP itself (具有超时) 或接受 certificate (soft-失败). 此是 weakness 的 OCSP — 考虑 OCSP Must-Staple 为关键 certificates.

Enable OCSP stapling 为 faster TLS handshakes

OCSP stapling lets 服务器提供 fresh revocation 检查到客户端期间 TLS handshake, avoiding separate round-trip 到 CA.

1

无 OCSP stapling, 客户端必须 contact CA's OCSP responder 到检查如果 certificate 是 revoked — extra round-trip 该 adds 延迟和 leaks browsing 历史到 CA. 具有 stapling, 服务器 fetches OCSP 响应和 "staples" 它到 TLS handshake.
2

RSA 工具 →
Verify certificate supports OCSP 通过 checking Authority Information Access (AIA) 扩展, 哪个 contains OCSP responder URL. 无此, stapling cannot 工作.
3

哈希计算器 →
Hash OCSP 响应到验证它有是 updated 最近. OCSP responses 有 validity 周期 (通常少数 hours); 服务器必须 refresh 它们之前 expiry.
4

Configure 你的 web 服务器 (nginx: ssl_stapling 开; Apache: SSLUseStapling 开) 到获取和缓存 OCSP responses. 如果 OCSP responder 是 unreachable, 服务器 falls 回到 handshake 无 stapling. Monitor OCSP 获取成功速率.

常见问题

OCSP vs CRL — 什么是差集?: CRL (Certificate Revocation 列表) 是列表的所有 revoked serial numbers — 它能够是大和慢到下载. OCSP 是实数-时间查询为单个 certificate's 状态. OCSP stapling combines best 的两者: 实数-时间状态无客户端 round-trip.
什么如果 OCSP responder 是下?: 服务器 cannot staple 响应和 falls 回到正态 handshake. 客户端可以然后检查 OCSP itself (具有超时) 或接受 certificate (soft-失败). 此是 weakness 的 OCSP — 考虑 OCSP Must-Staple 为关键 certificates.