CRLOCSPrajapintoihin

CRL- ja OCSP-rajapinnat kuvaavat mekanismeja, joiden avulla sovellukset voivat tarkistaa digitaalisen varmenteen mitätöintitilan. CRL on Certificate Revocation List -lista, kun taas OCSP tarjoaa reaaliaikaisen tilan kysymisen valtuutetulta vastaajalta.

CRL eli Certificate Revocation List on CA:n julkaisema allekirjoitettu lista mitätöidyistä varmenteista ja niiden sarjanumerosta. CRL:n julkaisu perustuu X.509 -standardiin (RFC 5280). Listat voivat olla täysi- tai delta-CRL:itä ja niitä toimitetaan CRL-jakelupisteiden kautta HTTPS-yhteydellä. Sovellukset voivat ladata CRL-tiedoston ja suorittaa varmenteiden tarkistuksen sen perusteella.

OCSP eli Online Certificate Status Protocol mahdollistaa varmenteen tilan kysymisen suoraan OCSP-vastaajalta. Pyyntö sisältää varmenteen tunnisteen ja vastaus kertoo tilan: good, revoked tai unknown. Vastaukset voivat olla allekirjoitettuja, ja niitä voidaan suojata nonce-arvolla estämään vanheneminen. OCSP:n etu on reaaliaikainen tieto, mutta se herättää yksityisyys- ja luotettavuusnäkökulmia; ratkaisuiksi käytetään esimerkiksi OCSP-staplingia tai TLS Must-Staple -ominaisuutta.

Rajapintojen toteutukset vaihtelevat: HTTP(S)-päätepisteet, joilta CRL-lataukset tai OCSP-pyynnöt tehdään. Yleisiä käytäntöjä ovat CRL:n välimuisti, delta-CRL:ien hyödyntäminen ja varmenteen yksilöinti OCSP-tilan avulla. Useat kirjastot ja käyttöjärjestelmät tukevat näitä mekanismeja, kuten OpenSSL ja CryptoAPI.

Turvallisuusnäkökulmat korostavat säännöllistä päivittämistä, varmenteiden allekirjoitusten ja oikeellisuuden varmistamista sekä politiikkaa virhetilanteissa. Keskeiset standardit ovat RFC 5280 (X.509) ja RFC 6960 (OCSP).

CRL- ja OCSP-rajapinnat ovat keskeisiä PKI-turvallisuudessa, erityisesti TLS- ja sähköisten allekirjoitusten yhteydessä.