Klient identyfikuje wydawcę i numer seryjny certyfikatu responderowi OCSP, który zwraca podpisany status good, revoked lub unknown z informacją czasową.
Aplikacja polegająca uwierzytelnia odpowiedź i decyduje, czy jest świeża i stosowna. W Transport Layer Security stapling OCSP pozwala serwerowi dołączyć zbuforowaną, podpisaną przez respondera odpowiedź do uzgodnienia, redukując zapytania i zależność od respondera.
Najważniejsze punkty
Znaczenie odpowiedzi„Revoked" niesie dane unieważnienia, podczas gdy „unknown" oznacza, że responder nie zna certyfikatu. Według RFC 6960 „good" minimalnie oznacza, że żaden pasujący certyfikat nie jest zapisany jako unieważniony; nie dowodzi wydania ani ważności.
Świeżość i odtwarzanieSprawdzaj thisUpdate, nextUpdate, producedAt, politykę zegara lokalnego i wiązanie żądania lub odpowiedzi. RFC 6960 to Proposed Standard; RFC 9654 aktualizuje jego rozszerzenie nonce, które może redukować ryzyko odtworzenia, ale wpływa na buforowanie.
Prywatność i dostępnośćBezpośrednie zapytania mogą ujawniać responderowi zainteresowanie certyfikatami. Stapling może redukować to ujawnienie i zależność sieciową, ale zbuforowane odpowiedzi nadal wymagają poprawnej walidacji i terminowego odświeżania.
Istotne ograniczenieOCSP nie może zapewnić wiarygodnego zapewnienia unieważnienia, gdy status jest nieaktualny, niedostępny, niezaufany lub ignorowany. Klienci soft-fail mogą kontynuować po awarii respondera, osłabiając unieważnienie; polityka hard-fail może z kolei zamienić awarie respondera w awarie usługi.