V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
7DLNU56W
V2EX  ›  SSL

OCSP Stapling 将吊销信息缓存在服务端这不是和 CRL 具有相同的缺点了么?

  •  
  •   7DLNU56W · 2019-01-23 00:39:04 +08:00 · 2488 次点击
    这是一个创建于 1892 天前的主题,其中的信息可能已经有所发展或是发生改变。

    CRL 的缺点之一就是因为列表是缓存的,客户端不能及时得到最新的吊销信息。为了解决这个问题才有了 OCSP,可是后来出现了 OCSP Stapling,将 OCSP 信息缓存在服务器端,这不是相当于于回到 CRL 了么,OCSP 信息被缓存,客户端岂不是仍然无法得到最新的吊销信息么?

    4 条回复    2019-01-23 17:48:07 +08:00
    oovveeaarr
        1
    oovveeaarr  
       2019-01-23 01:14:26 +08:00
    个人猜测是因为代理服务器并没有办法修改 OCSP 的缓存时间,这个缓存时间完全是由 CA 的服务器可以控制的,这样就保证了用户拿到的是“可接受的最新版”。
    毕竟对于 CA 来说,就算没 OCSP Stapling 也要做缓存,不然服务器早就炸了。
    7DLNU56W
        2
    7DLNU56W  
    OP
       2019-01-23 11:15:55 +08:00
    @oovveeaarr 这种情况,如果证书是在被缓存之后才吊销的是不是就无法下发正常的吊销信息了呢( CRL 的缓存时间不也是 CA 控制的么)?如果私钥被别有用心的人盗取,会不会连 OCSP 状态正常的缓存也一起盗走呢?
    oovveeaarr
        3
    oovveeaarr  
       2019-01-23 13:25:26 +08:00
    请问“ CRL 的缓存时间不也是 CA 控制的么”是在哪里有叙述呢,我这边没有查询到相关信息,麻烦提供一下,可能是我的理解有误。

    关于第二点,OCSP 是 CA 要做的事,所以只有可能是 CA 的私钥被盗用,才能做到“状态正常的缓存也一起盗走”
    Williamp
        4
    Williamp  
       2019-01-23 17:48:07 +08:00
    OCSP stapling is a technology to check revocation status of X.509 digital certificates. If anyone has confusion regarding it then you can check this resource https://www.clickssl.net/blog/ocsp-stapling-check-your-certificate-revocation
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   5424 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 08:47 · PVG 16:47 · LAX 01:47 · JFK 04:47
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.