OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) to protokół weryfikacji w czasie rzeczywistym statusu odwołania certyfikatu elektronicznego poprzez zapytanie do respondenta OCSP obsługiwanego przez urząd certyfikacji. Dlaczego odwołanie ma znaczenie: certyfikat może być ważny na dzień dzisiejszy, ale odwołany z wyprzedzeniem (zagrożenie klucza, odejście pracownika); podpis lub połączenie TLS musi zatem sprawdzić status, a nie tylko wygaśnięcie. OCSP vs CRL: OCSP jest lżejszą i bardziej reaktywną alternatywą dla CRL — zamiast pobierać całą listę odwołań, klient pyta o jeden certyfikat i otrzymuje podpisaną, zwięzłą odpowiedź (ważny / odwołany / nieznany). OCSP Stapling: aby uniknąć wycieku prywatności i dodatkowej wymiany, serwer pobiera swoją własną odpowiedź OCSP i "klejąc" ją w handshake TLS, dzięki czemu przeglądarka nigdy nie kontaktuje się bezpośrednio z urzędem. W podpisanych dokumentach: odpowiedzi OCSP są wbudowywane w PDF w momencie podpisania dla weryfikacji długoterminowej (LTV), aby podpis pozostał weryfikowalny lata później, nawet jeśli respondent jest niedostępny.