Список отзыва сертификатов

Список отзыва сертификатов (CRL) — подписанный объект X.509, который издатель CRL, обычно центр сертификации, публикует для указания сертификатов, отозванных до даты их планового истечения. Запись обычно содержит серийный номер сертификата, дату отзыва и при наличии код причины. CRL имеет время выпуска и следующего обновления; клиенту требуется получить и проверить актуальную версию списка. Расположение точки распространения может быть указано в расширении CRL Distribution Points сертификата. Размер списка и интервал обновления влияют на сетевую нагрузку и задержку получения сведений об отзыве. CRL применяют в инфраструктурах PKI, TLS-службах, VPN, системах электронной подписи и корпоративной аутентификации. При проектировании учитывают доступность точек распространения, срок кэширования и поведение клиентов, если актуальный список недоступен. CRL отличается от срока действия сертификата: истечение срока наступает автоматически, а отзыв выполняется центром сертификации раньше срока. От OCSP CRL отличается моделью проверки: клиент загружает список серийных номеров, а не получает ответ по одному сертификату.