.509因特网公钥基础设施在线证书状态协议——OCSP(中文版).pdfVIP

Network Working Group M. Myers Request for Comments:2560 VeriSign Category: Standards Track R. Ankney CertCo A. Malpani ValiCert S. Galperin My CFO C. Adams Entrust Technologies June 1999 x.509 因特网公钥基础设施在线证书状态协议—— OCSP (RFC2560 X.509 Internet Public Key Infrastructure Online Certificate Status Protocol – OCSP) 本备忘录的状态 本文档讲述了一种 Internet 社区的 Internet 标准跟踪协议，它需要进一步进行 讨论和建 议以得到改进。请参考最新版的“ Internet 正式协议标准” (STD1)来获得本协 议的标准化 程度和状态。本备忘录的发布不受任何限制。 版权声明 Copyright (C) The Internet Society (1999). All Rights Reserved. 1. 摘要 本文档描述了无需证书撤消列表就可以决定一张数字证书当前状态的协议。 附加 描述 PKIX操作必要条件的机制在另外的文档中有详细说明。 第二章中有协议的概述。 功能必要条件在第三章中有详细描述。 第四章是具体协 议。第五章我们将讨论一些和协议有关的安全问题。附录 A 定义了在 HTTP之上 的 OCSP，附录 B有 ASN.1 的语义元素，附录 C详细描述了信息的 mime类型。 本文档中的关键字 MUST, MUST NOT, REQUIRED, SHALL, SHALL NOT, SHOULD, SHOULD NOT, RECOMMENDED, MAY, and OPTIONAL同 RFC2119中的叙述一样。 2. 协议概述 作为检查定期证书撤消列表的补充， 有些场合下必须要获得一些有关证书撤消状 态的即时信息。（ RFC2459章节 3.3 ）例如涉及大量资金的交易或者股票买卖。 在线证书状态协议（ OCSP）使得应用程序可以测定所需要检验证书的（撤消）状 态。OCSP。一个 OCSP客户端发布一个状态查询给一个 OCSP响应器并且侦听当前 证书直到响应器提供了一个响应。 这个协议描述了在应用程序检查证书状态和服务器提供状态之间所需要交换的 数据。 2.1 请求 一个 OCSP请求包含以下数据 ——协议版本 ——服务请求 ——目标证书标识 ——可能被 OCSP响应器处理的可选扩展 在接受一个请求之后，一个 OCSP响应器检测是否： 1．信息正确格式化 2 ．响应器被配置提供请求服务而且 3．请求包含了响应器需要的信息，如果任何一个先决条件没有满足，那么 OCSP 响应器将 产生一个错误信息；否则的话，返回一个确定的回复。 2.2 回复 OCSP回复可以有几种类型。一个 OCSP回复由回复类型和实际回复字节组成。有 一种 OC