山東省數(shù)字證書認(rèn)證管理有限公司ca基礎(chǔ)知識(shí)講座-資料下載頁
2025-03-05 16:16本頁面
【正文】 ， 是 IETF頒布的用于檢查數(shù)字證書在某一交易時(shí)間是否有效的標(biāo)準(zhǔn) 。 在 OCSP之前 ， 用戶沒有一種方便的途徑來復(fù)查證書的有效性 。 OCSP使經(jīng)理們可以實(shí)時(shí)進(jìn)行這類檢查 ， 從而節(jié)省了時(shí)間和資金 ， 它為電子商務(wù)提供了一種檢驗(yàn)數(shù)字證書有效性的途徑 ，比下載和處理證書撤銷清單 （ CRL） 的傳統(tǒng)方式更快 、更方便和更具獨(dú)立性 。 由證書機(jī)構(gòu)簽發(fā)的 CRL是一張無效證書及其持有者的名單 。 這種 CRL處理方式要求用戶配置客戶 PC來處理來自證書機(jī)構(gòu)的 CRL。 由于證書機(jī)構(gòu)沒有經(jīng)常簽發(fā) CRL， 或由于撤銷證書的數(shù)量很大及用戶基礎(chǔ)很大 ， 所以 CRL常常會(huì)越變?cè)酱?。 當(dāng)它們體積過于龐大變得難于使用時(shí)就帶來了另一個(gè)問題 ， 即每次 CRL分發(fā)會(huì)大量消耗網(wǎng)絡(luò)帶寬和客戶機(jī)處理能力 。 此外 ， 業(yè)務(wù)伙伴可能需要幾天的時(shí)間才能收到有關(guān)撤銷證書的通知 ， 從而增加了破壞安全性的可能 。 OCSP實(shí)時(shí)在線地向用戶提供證書狀態(tài) ， 結(jié)果是它比 CRL處理快得多 ， 避免了令人頭痛的邏輯問題和處理開銷 。 O C S P 為立即檢查證書是否被撤銷 ， 用戶的客戶機(jī)必須形成請(qǐng)求 ， 并將請(qǐng)求轉(zhuǎn)發(fā)到一個(gè) OCSP應(yīng)答器 ， 即網(wǎng)絡(luò)中保存最新撤銷信息的服務(wù)器應(yīng)用程序 。 應(yīng)答器回答下列三個(gè)有關(guān)證書有效性信息中的一個(gè)： “好 ”、 “撤銷 ”或“不知道 ”。 盡管 HTTP是最通用的方式 ， 但 OCSP請(qǐng)求是獨(dú)立于協(xié)議的 。 證書機(jī)構(gòu)或其他實(shí)體向作為公共密鑰基礎(chǔ)設(shè)施的可信體系組成部分的可信賴機(jī)構(gòu)提供 OCSP應(yīng)答器 。 對(duì)于使用 OCSP應(yīng)答器的用戶來說 ， 獲得這一信息的最佳途徑是使證書機(jī)構(gòu)將信息直接輸入到應(yīng)答器中 。 根據(jù)證書機(jī)構(gòu)與 OCSP應(yīng)答器之間的關(guān)系 ， 證書機(jī)構(gòu)可以轉(zhuǎn)發(fā)即時(shí)的通知或證書撤銷信息 ， 并且這些信息可以立即提供給用戶 。 一項(xiàng)關(guān)鍵的決定涉及到是否使用在數(shù)據(jù)庫中保存實(shí)際證書和狀態(tài)信息的應(yīng)答器 。 經(jīng)常被稱之為信息庫的這類應(yīng)答器 ， 使各機(jī)構(gòu)可以訪問更多的有關(guān)證書和其狀態(tài)的信息 ， 因此用戶可以做出有關(guān)交易伙伴可信度的更有依據(jù)的業(yè)務(wù)決定 。 O C S P 這種方式的代價(jià)是付出維護(hù)證書數(shù)據(jù)庫的費(fèi)用 。 除了OCSP之外 ， 信息庫還支持供客戶機(jī)應(yīng)用使用的輕量級(jí)目錄訪問協(xié)議 (LDAP)。 OCSP使各機(jī)構(gòu)可以很容易地將多個(gè)應(yīng)答器連接起來 ，方便企業(yè)對(duì)企業(yè)的交易 。 這意味著如果一家機(jī)構(gòu)請(qǐng)求從應(yīng)答器得到該證書的狀態(tài) ， 但該應(yīng)答器沒有某一證書信息的話 ， 應(yīng)答器可以從其它應(yīng)答器中獲得這一信息 。 建立這種應(yīng)答器網(wǎng)絡(luò)可以賦予貿(mào)易伙伴驗(yàn)證 “國外 ”證書和在 Inter共同開展業(yè)務(wù)的更多的靈活性 。 OCSP給證書認(rèn)證過程帶來了效率并節(jié)省了費(fèi)用 ， 增強(qiáng)了用戶交易的安全性 。 Wele your presence!
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號(hào)-1