OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) er en protokol til real-time verifikation af tilbagekaldingstatus for et elektronisk certifikat ved at forespørge en OCSP-responder drevet af certifikatmyndigheden. Hvorfor tilbagekaldelse betyder noget : et certifikat kan være gyldigt på dato, men tilbagekaldt forudgående (nøglekompromittering, medarbejderafgang); en underskrift eller TLS-forbindelse må derfor tjekke status, ikke blot udløb. OCSP mod CRL : OCSP er et lettere og mere responsivt alternativ til en CRL — i stedet for at downloade hele tilbagekaldelseslisten, forespørger klienten et enkelt certifikat og modtager et kortfattet signeret svar (gyldigt / tilbagekaldt / ukendt). OCSP Stapling : for at undgå privatlivsleak og et ekstra tur, henter serveren sit eget OCSP-svar og « holder fast » på det i TLS-håndtrykket, så browseren aldrig kontakter CA direkte. I signerede dokumenter : OCSP-svar integreres i PDF'en på underskriftstidspunktet for langtidsvalidering (LTV), så underskriften forbliver verifierbar årene efter, selv hvis respondenten er offline.