ssl - 基于 SSL/TLS 的 OCSP

Question

据我所知，OCSP 只为请求和响应提供明确的签名方式([RFC2560，第 7 页] 用于请求，[RFC2560，第 8 页] 用于响应)，但它没有提及加密。在 SSL/TLS 上运行 OCSP 以保证其 secret 性是典型的(或者甚至是可能的，我想当然是这样)吗？

谢谢。

Answer 1

是的，可以使用 SSL/TLS。但考虑一下:

When certificates include a cRLDistributionPoints extension with an https URI or similar scheme, circular dependencies can be introduced. The relying party is forced to perform an additional path validation in order to obtain the CRL required to complete the initial path validation! Circular conditions can also be created with an https URI (or similar scheme) in the authorityInfoAccess or subjectInfoAccess extensions. At worst, this situation can create unresolvable dependencies.

摘自 RFC5280，第 8 节。本节解决了将 https 用于 CRL 分发点的问题。但是对于 OCSP 请求使用 SSL/TLS 会遇到同样的问题:您必须检查服务器证书的有效性...