OCSP (Giao thức trạng thái chứng chỉ trực tuyến)

OCSP (Online Certificate Status Protocol, RFC 6960) là giao thức xác minh trạng thái thu hồi của chứng chỉ điện tử theo thời gian thực, bằng cách truy vấn một trả lời OCSP do nhà cung cấp chứng chỉ điều hành. Tại sao thu hồi quan trọng : chứng chỉ có thể hợp lệ theo ngày nhưng bị thu hồi trước (các khóa bị xâm phạm, nhân viên rời đi); do đó chữ ký hoặc kết nối TLS phải xác minh trạng thái, không chỉ hết hạn. OCSP so với CRL : OCSP là một lựa chọn thay thế nhẹ hơn và nhanh hơn cho CRL — thay vì tải xuống toàn bộ danh sách thu hồi, máy khách truy vấn một chứng chỉ duy nhất và nhận được phản hồi ký được ngắn gọn (hợp lệ / thu hồi / không xác định). OCSP Stapling : để tránh rò rỉ quyền riêng tư và một chuyến đi bổ sung, máy chủ lấy phản hồi OCSP của chính nó và « ghép » nó vào bắt tay TLS, vì vậy trình duyệt không bao giờ liên hệ trực tiếp với CA. Trong tài liệu được ký : các phản hồi OCSP được tích hợp vào PDF tại thời điểm ký cho xác thực dài hạn (LTV), để chữ ký vẫn có thể xác minh được nhiều năm sau đó ngay cả khi trả lời không hoạt động.