證書吊銷列表

證書吊銷列表 (Certificate Revocation List ,簡稱: CRL) 是 PKI 系統中的一個結構化數據檔案,該檔案包含了證書頒發機構 (CA) 已經吊銷的證書的序列號及其吊銷日期。

英文:Certificate Revocation List 簡稱:CRL
出處:ITU/T X.509 | ISO/IEC 9594-8:2001,GB/T 16264.8-2005
定義:一個被簽署的列表,它指定了一套證書發布者認為無效的證書。除了普通CRL外,還定義了一些特殊的CRL類型用於覆蓋特殊領域的CRL。
解釋:CRL一定是被CA所簽署的,可以使用與簽發證書相同的私鑰,也可以使用專門的CRL簽發私鑰。CRL中包含了被吊銷證書的序列號。
證書吊銷
證書具有一個指定的壽命,但 CA 可通過稱為證書吊銷的過程來縮短這一壽命。CA 發布一個證書吊銷列表 (CRL),列出被認為不能再使用的證書的序列號。CRL 指定的壽命通常比證書指定的壽命短得多。CA 也可以在 CRL 中加入證書被吊銷的理由。它還可以加入被認為這種狀態改變所適用的起始日期。
可將下列情況指定為吊銷證書的理由:
泄露密鑰
泄露 CA
從屬關係改變
被取代
業務終止
證書持有(這是唯一讓您能夠改變被吊銷證書狀態的理由碼,在證書狀態有問題的情況下非常有用)
由 CA 吊銷證書意味著,CA 在證書正常到期之前撤銷其允許使用該密鑰對的有關聲明。在吊銷的證書到期之後,CRL 中的有關條目被刪除,以縮短 CRL 列表的大小。
在驗證簽名期間,應用程式可以檢查 CRL,以確定給定證書和密鑰對是否仍然可信(有些應用程式使用 CryptoAPI 中的 Microsoft 證書鏈驗證 API 來完成此任務)。如果不可信,應用程式可以判斷吊銷的理由或日期對使用有疑問證書是否有影響。如果該證書被用來驗證簽名,且簽名的日期早於 CA 吊銷該證書的日期,那么該簽名仍被認為是有效的。
應用程式獲得 CRL 之後,由客戶機快取 CRL ,在它到期之前客戶機將一直使用它。如果 CA 發布了新的 CRL,擁有有效 CRL 的應用程式並 不 使用新的 CRL,直到應用程式擁有的 CRL 到期為止。

相關詞條

相關搜尋

熱門詞條

聯絡我們