OCSP

OCSP — протокол, с помощью которого клиент запрашивает у OCSP-респондера состояние конкретного сертификата X.509. В ответ обычно передаётся статус good, revoked или unknown, подпись респондера и временные метки, определяющие период актуальности ответа. Статус good означает лишь, что респондент не сообщает об отзыве: он не подтверждает факт выпуска сертификата, срок его действия, доверие к цепочке или соответствие имени. Адрес респондера часто указывается в расширении Authority Information Access сертификата. Доступность проверки зависит от сетевой связности, политики клиента и срока действия ранее полученного ответа. OCSP stapling позволяет TLS-серверу получить подписанный ответ и передать его клиенту в ходе TLS-рукопожатия, снижая число обращений клиентов к респондеру. Протокол применяют браузеры, TLS-клиенты и корпоративные системы контроля сертификатов, когда требуется узнать, не был ли сертификат отозван до окончания его срока действия. Для критичных сервисов оценивают доступность OCSP-респондера, правила обработки ошибок и поддержку stapling клиентами. OCSP отличается от CRL способом распространения сведений об отзыве: OCSP запрашивает статус одного сертификата, а CRL содержит опубликованный перечень отозванных сертификатов. OCSP stapling — не отдельный статусный протокол, а способ доставки OCSP-ответа сервером.