OCSP装订

OCSP装订（），正式名称为TLS证书状态查询扩展，可代替在线证书状态协议（OCSP）来查询X.509证书的状态。服务器在TLS握手时发送事先缓存的OCSP响应，用户只需验证该响应的有效性而不用再向数字证书认证机构（CA）发送请求。

 动机 
OCSP装订解决了在线证书协议中的大多数问题。CA给网站颁发证书之后，网站的每个访问者都会进行OCSP查询。因此使用在线证书协议时，高并发的请求会给CA的服务器带来很大的压力。同时由于必须和CA建立连接，OCSP查询还会影响浏览器打开页面的速度并泄漏用户隐私。此外，当OCSP查询无法得到响应时，浏览器必须选择是否在无法确认证书状态的情况下继续连接，造成安全性和可用性二选一的困局。

 标准 
RFC 6066 第8章中规定了TLS证书状态查询扩展的标准。

RFC 6961 定义了多证书状态查询扩展，允许TLS握手中发送多个证书的OCSP响应。

 发展 
对OCSP装订的支持正在逐步落实。OpenSSL在Mozilla基金会的协助下发布了支持OCSP装订的0.9.8g版本。

服务器端的支持情况：
 软件名 版本 Httpd 2.3.3 Nginx 1.3.7 IIS Windows Server 2008 HAProxy 1.5.0 LiteSpeed Web Server 4.2.4Release Log - Litespeed Tech . F5 Networks BIG-IP 11.6.0 Traefik  3.5.0

浏览器的支持情况：
 软件名 版本 Firefox 26Improving Revocation - MozillaWiki, retrieved 2014-04-28 IE Vista及以上的Windows。 Chrome Linux、Chrome OS、Vista及以上的Windows

SMTP方面，Exim在客户端The smtp transport , retrieved 2015-01-24和服务器端Main configuration , retrieved 2015-01-24都支持OCSP装订。

 局限性 
OCSP装订可以降低OCSP验证的成本，特别针对有很多用户的大型网站。但是OCSP装订在同一时间只能发送一个OCSP响应，对有中级证书的证书链来说并不足够。Mozilla NSS Bug 360420 , Comment by Adam LangleyRFC 6961中提出的多证书状态查询扩展解决了这个问题，允许同时发送多个OCSP响应。

 参考资料 

Category:加密协议
Category:互联网标准
Category:网际协议
Category:傳輸層安全協議