OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) é um protocolo de verificação em tempo real do status de revogação de um certificado eletrônico, mediante consulta a um respondedor OCSP explorado pela autoridade de certificação. Por que a revogação importa: um certificado pode ser válido em data mas revogado antecipadamente (comprometimento de chave, saída de um funcionário); uma assinatura ou conexão TLS deve portanto verificar o status, não apenas a expiração. OCSP face à CRL: OCSP é uma alternativa mais leve e reativa a uma CRL — em vez de baixar toda a lista de revogação, o cliente consulta um único certificado e recebe uma resposta assinada concisa (válido / revogado / desconhecido). OCSP Stapling: para evitar vazamento de privacidade e uma viagem extra de ida e volta, o servidor obtém sua própria resposta OCSP e a « agrafela » no handshake TLS, de modo que o navegador nunca contata diretamente a AC. Em documentos assinados: as respostas OCSP são integradas ao PDF no momento da assinatura para a validação a longo prazo (LTV), para que a assinatura permaneça verificável anos depois mesmo que o respondedor esteja offline.