c# - 了解证书吊销列表

Question

我正在努力了解证书重定位列表的运作方式和更新方式。

假设我的服务器 xyz.com 有一个 CRL 分发点配置为 myissuer.com/thelist.crl 的证书

现在我在连接到 xyz.com 时使用 wireshark 监控了我的网络上的通信，我没有看到任何调用 myissuer.com 来获取 CRL。

有两个问题:

1. 对 CRL 分发点的调用实际发生在什么时候，多久发生一次？

2. 如果我手动下载并安装此 CRL 文件，我的客户端是否仍会尝试连接到已配置的 CRL 分发点？

Answer 1

When does the call to the CRL Distribution Point actually occur and how often?

浏览器/客户端决定何时请求 CRL。可能是“从不”

If i download and install this CRL file manually does my client still try and connect to the configured CRL Distribution Point?

通常是的，除非客户端有自己的 CRL 缓存并且 CRL 的生命周期没有过期。

不常见的是，客户端会查询系统存储库(例如 Windows keystore )以了解是否安装了 crl。请注意，CRL 已过期，因此拥有更新的副本很重要

---

如果您想优化网站的吊销检查，请参阅 OCSP 装订 https://en.wikipedia.org/wiki/OCSP_stapling