Go-加密学 - 证书吊销列表(CRL)

Posted xiangjai

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Go-加密学 - 证书吊销列表(CRL)相关的知识,希望对你有一定的参考价值。

目录

一、证书吊销列表(CRL)

 二、证书吊销列表(CRL)与证书状态在线查询协议(OCSP)

 三、证书吊销列表(CRL)的作用


一、证书吊销列表(CRL)

  证书吊销列表(Certificate Revocation List,简称:CRL)是PKI系统系统中的一个结构化的数据文件,该文件包含了证书颁发机构(CA)已经吊销的证书的序列号及其吊销日期。CRL文件中还包含证书颁发机构信息、吊销列表失效时间和下一次更新时间、以及采用的签名算法等。证书吊销列表最短的有效期为1个小时,一般为1天,甚至1个月不等,由各个证书颁发机构在设置其证书颁发系统时设置。如下图所示:

证书吊销列表分发点(CRL Distribution Point,简称CDP)是包含在数字证书中的一个可以供各种应用软件自动下载最新的CRL的位置信息。一个CDP通常出现在数字证书的详细信息选项卡的CRL分发点,一般会列出多个使用不同的访问方法,以确保如Web浏览器和Web服务器程序始终可以获取最新的CRL。CDP一般是一个可以访问的url地址,如下图所示:

 

 

 二、证书吊销列表(CRL)与证书状态在线查询协议(OCSP)

  讲到吊销列表,就不得不讲讲OCSP,Online Certificate Status Protocol,证书状态在线查询协议,是IETF颁布的用于实时查询数字证书在某一时间是否有效的标准。

  上面已经提到,一般CA都只是每隔一定时间(几天或几个月)才发布新的吊销列表,可以看出:CRL是不能及时反映证书的实际状态的。而OCSP就能满足实时在线查询证书状态的要求。它为电子商务网站提供了一种实时检验数字证书有效性的途径,比下载和处理CRL的传统方式更快、更方便和更具独立性。请求者发送查询请求,OCSP服务器会放回证书可能的三个状态:正常、吊销和未知。

  OCSP服务由独立的OCSP服务器来提供服务,OCSP也是一个可以访问的url地址,如下图所示:

 

 三、证书吊销列表(CRL)的作用

  那么,证书吊销列表起什么作用?浏览器在使用https://访问已经部署了SSL证书的网站时,一定会先检查此SSL证书是否已经被吊销,也就是说会查询吊销列表或OCSP服务,如果此证书已经被证书颁发机构吊销,则会显示告警信息:“此组织的证书已被吊销。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页,并且不要继续浏览该网站。” 

 值得注意的是:目前有些CA颁发的证书和大部分自签的SSL证书都没有提供吊销列表(CRL)服务或证书吊销列表分发点是不可访问的,当然更别提OCSP服务,这是非常危险的,因为如果证书丢失或被盗而无法吊销的话,就极有可能被用于非法用途而让用户蒙受损失。

转自: 证书吊销列表(CRL) 

以上是关于Go-加密学 - 证书吊销列表(CRL)的主要内容,如果未能解决你的问题,请参考以下文章

Go-加密学 - 证书吊销列表(CRL)

将证书吊销列表 (CRL) 文件从 .crl 转换为 .pem 扩展名 - Python 3

如何对 PDF 中的证书吊销列表 (CRL) 流字节进行编码?

联盟链系列 - 用Openssl管理CRL

联盟链系列 - 用Openssl管理CRL

联盟链系列 - 用Openssl管理CRL