据我所知，OCSP 只为请求和响应的签名提供了明确的方法（[RFC2560, page 7] 用于请求，[RFC2560, page 8] 用于响应），但它没有提及加密。在 SSL/TLS 上运行 OCSP 以保证其机密性是否典型（甚至可能，我想当然是这样）？
谢谢。
问问题
3690 次
3 回答
7
是的，可以使用 SSL/TLS。但是考虑一下：
当证书包含带有 https URI 或类似方案的 cRLDistributionPoints 扩展时，可以引入循环依赖关系。依赖方被迫执行额外的路径验证，以获得完成初始路径验证所需的 CRL！循环条件也可以在 authorityInfoAccess 或 subjectInfoAccess 扩展中使用 https URI（或类似方案）创建。在最坏的情况下，这种情况会产生无法解决的依赖关系。
摘自 RFC5280，第 8 节。本节解决了使用 https 作为 CRL 分发点的问题。但是对于 OCSP 请求使用 SSL/TLS 也会遇到同样的问题：您必须检查服务器证书的有效性...
于 2013-02-26T15:55:56.413 回答
3
在 RFC2560 的附录中是这样写的：
A.1.1 请求 [...] 在需要隐私的情况下，使用 HTTP 交换的 OCSP 事务可以使用 TLS/SSL 或其他一些较低层协议进行保护。
但是大多数 OCSP-Responder 只提供没有 TLS/SSL 的 HTTP。
于 2015-09-23T06:48:53.840 回答
2
It is definitely possible, but it's not typical. If you are requesting the status of a host certificate, the OCSP request is unlikely to reveal anything an eavesdropper doesn't already know—namely, the host that you are trying to authenticate.
For S/MIME email or other applications, OCSP requests could be a lot more sensitive, because they would support organizational analysis. Using HTTPS transport could be be a good idea there.
于 2012-11-11T23:52:04.387 回答