|
fzL免费翻墙网
CA 证书的吊销存在两种机制，一种是在线检查，client 端向 CA 机构发送请求检查 server 公钥的靠谱性；第二种是 client 端储存一份 CA 提供的证书吊销列表，定期更新。前者要求查询服务器具备良好性能，后者要求每次更新提供下次更新的时间，一般时差在几天。安全性要求高的网站建议采用第一种方案。fzL免费翻墙网
大部分 CA 并不会提供吊销机制（CRL/OCSP），靠谱的方案是为根证书提供中间证书，一旦中间证书的私钥泄漏或者证书过期，可以直接吊销中间证书并给用户颁发新的证书。中间证书的签证原理于上上条提到的原理一样，中间证书还可以产生下一级中间证书，多级证书可以减少根证书的管理负担。fzL免费翻墙网
很多 CA 的 OCSP Server 在国外，在线验证时间比较长，如果可以联系 CA 供应商将 Server 转移到国内，效率可以提升 10 倍左右。fzL免费翻墙网
3. PKI 体系fzL免费翻墙网
比较主流的两种方案是 HPKP 和 Certificate Transparency：fzL免费翻墙网
- HPKP 就是用户第一次访问的时候记下 sign 信息，以后不匹配则拒绝访问，这存在很大的隐患，比如 Server 更新了证书，或者用户第一次访问的时候就被人给黑了
- Certificate Transparency 意思就是让 CA 供应商透明化 CA 服务日志，防止 CA 供应商偷偷签证
看了不少文章，对 CA 和证书相关的知识做了一些总结，可能不全面，也可能存在表述错误或者知识性错误，欢迎拍砖！ |
