OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) je protokol na overovanie v reálnom čase stavu odvolania elektronického certifikátu dotazovaním na OCSP respondér prevádzkovaný certifikačnou autoritou. Prečo má odvolanie význam: certifikát môže byť platný k dátumu, ale odvolaný vopred (kompromitácia kľúča, odchod zamestnanca); podpis alebo TLS pripojenie preto musí overiť stav, nielen expiraciju. OCSP v porovnaní s CRL: OCSP je ľahšia a reaktívnejšia alternatíva k CRL – namiesto stiahnutia celého zoznamu odvolaní klient dotazuje jeden certifikát a dostane podpísanú stručnú odpoveď (platný / odvolaný / neznámy). OCSP Stapling: aby sa predišlo úniku súkromia a ďalšiemu ťahu tam a späť, server si načíta vlastnú OCSP odpoveď a "zošije" ju do TLS handshake, takže prehliadač nikdy priamo nekontaktuje CA. V podpísaných dokumentoch: OCSP odpovede sú zaintegované do PDF v čase podpisu pre dlhodobú validáciu (LTV), aby zostal podpis overiteľný roky neskôr, aj keď je respondér offline.