OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) is een protocol voor realtime verificatie van de intrekkingsstatus van een elektronisch certificaat, door ondervragen van een OCSP-responder beheerd door de certificeringsautoriteit. Waarom intrekking belangrijk is : een certificaat kan geldig zijn qua datum maar voortijdig ingetrokken (compromis van sleutel, vertrek van werknemer); een handtekening of TLS-verbinding moet daarom de status verifiëren, niet alleen vervaldatum. OCSP tegenover CRL : OCSP is een lichter en sneller alternatief voor een CRL — in plaats van de volledige intrekkingslijst te downloaden, vraagt de client een enkel certificaat en ontvangt een ondertekend, beknopt antwoord (geldig / ingetrokken / onbekend). OCSP Stapling : om privacylekkage en extra verkeersronde te voorkomen, haalt de server zijn eigen OCSP-antwoord op en « plakt » het in de TLS-handshake, zodat de browser nooit direct contact opneemt met de CA. In ondertekende documenten : OCSP-antwoorden worden in de PDF opgenomen op het moment van ondertekening voor long-term validation (LTV), zodat de handtekening jaren later nog verifieerbaar blijft, ook al is de responder offline.