Klient identifikuje vydavatele a sériové číslo certifikátu OCSP responderu, který vrátí podepsaný status good, revoked či unknown s časovými informacemi.
Spoléhající aplikace odpověď autentizuje a rozhoduje, zda je čerstvá a použitelná. V Transport Layer Security umožňuje OCSP stapling serveru připojit ke handshaku kešovanou odpověď podepsanou responderem, čímž redukuje dotazy a závislost na responderu.
Klíčové body
Význam odpovědi„Revoked" nese data o odvolání, zatímco „unknown" znamená, že responder certifikát nezná. Podle RFC 6960 „good" minimálně znamená, že žádný odpovídající certifikát není zaznamenán jako odvolaný; nedokazuje vydání či platnost.
Čerstvost a replayKontrolujte thisUpdate, nextUpdate, producedAt, politiku lokálních hodin a vazbu požadavku či odpovědi. RFC 6960 je Proposed Standard; RFC 9654 aktualizuje jeho nonce rozšíření, které může snížit riziko replay, ale ovlivňuje cachování.
Soukromí a dostupnostPřímé dotazy mohou responderu prozradit zájem o certifikáty. Stapling může toto zveřejnění a síťovou závislost snížit, ale kešované odpovědi stále vyžadují správnou validaci a včasnou obnovu.
Důležité omezeníOCSP nedokáže poskytnout spolehlivou jistotu odvolání, když je status zastaralý, nedostupný, nedůvěryhodný či ignorovaný. Klienti soft-fail mohou po selhání responderu pokračovat, čímž odvolání oslabují; politika hard-fail může naopak proměnit výpadky responderu ve výpadky služby.