OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) er en protokoll for sanntidsverifisering av revokasjonsstatus for et elektronisk sertifikat, ved å spørre en OCSP-responder drevet av sertifikatutsteder. Hvorfor revokasjon betyr noe : et sertifikat kan være gyldig på dato, men revokert i forkant (kompromittert nøkkel, ansattes avgang); en signatur eller TLS-tilkobling må derfor verifisere statusen, ikke bare utløpet. OCSP versus CRL : OCSP er et lettere og mer responsivt alternativ til en CRL — i stedet for å laste ned hele revokasjonslisten, spør klienten om ett sertifikat og mottar et kort signert svar (gyldig / revokert / ukjent). OCSP Stapling : for å unngå lekkasje av personvern og en ekstra rundtur, henter serveren sitt eget OCSP-svar og « hefter » det i TLS handshake, slik at nettleseren aldri kontakter AC direkte. I signerte dokumenter : OCSP-svar blir integrert i PDF-en på signeringstidspunktet for langtidsvalidering (LTV), slik at signaturen forblir verifiserbar år senere selv om respondenten er offline.