OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) este un protocol de verificare în timp real a stării revocării unui certificat electronic, prin interogarea unui respondent OCSP exploatat de autoritatea de certificare. De ce revocarea contează : un certificat poate fi valid în dată, dar revocat în avans (compromitere cheie, plecare salariat); o semnătură sau o conexiune TLS trebuie deci să verifice starea, nu doar expirarea. OCSP față de CRL : OCSP este o alternativă mai ușoară și mai reactivă la o CRL — în loc să descarce întreaga listă de revocări, clientul interogează un singur certificat și primește un răspuns semnat concis (valid / revocat / necunoscut). OCSP Stapling : pentru a evita o scurgere de confidențialitate și un tur suplimentar, serverul-și recuperează propria răspuns OCSP și o « agrafează » în handshake-ul TLS, ceea ce înseamnă că navigatorul nu contactează niciodată direct AC. În documentele semnate : răspunsurile OCSP sunt integrate în PDF la momentul semnării pentru validare pe termen lung (LTV), pentru ca semnătura să rămână verificabilă ani mai târziu chiar dacă respondentul este offline.