Un client identifică emitentul și numărul de serie al certificatului către un responder OCSP, care returnează o stare semnată de bună, revocată sau necunoscută cu informații de timp.
Aplicația care se bazează pe răspuns îl autentifică și decide dacă este proaspăt și aplicabil. În Transport Layer Security, stapling-ul OCSP permite unui server să atașeze un răspuns în cache, semnat de responder, la handshake, reducând interogările și dependența de responder.
Puncte esențiale
Sensul răspunsului„Revocat” poartă date de revocare, în timp ce „necunoscut” înseamnă că responderul nu cunoaște certificatul. Sub RFC 6960, „bun” înseamnă minimal că niciun certificat potrivitor nu este înregistrat ca revocat; nu dovedește emiterea sau validitatea.
Prospețime și replayVerificați thisUpdate, nextUpdate, producedAt, politica ceasului local și legarea cerere-răspuns. RFC 6960 este un Proposed Standard; RFC 9654 actualizează extensia sa nonce, care poate reduce riscul de replay, dar afectează cache-ul.
Confidențialitate și disponibilitateInterogările directe pot dezvăli responderului interese pentru certificate. Stapling-ul poate reduce acea divulgare și dependența de rețea, dar răspunsurile în cache cer totuși validare corectă și reîmprospătare la timp.
Limitare importantăOCSP nu poate furniza asigurare fiabilă de revocare când starea este învechită, indisponibilă, neîncrezută sau ignorată. Clienții soft-fail pot continua după un eșec al responderului, slăbind revocarea; politica hard-fail poate transforma în schimb întreruperile responderului în întreruperi de serviciu.