Let’s Encrypt计划终止数字证书OCSP服务 全面转向隐私性更好的CRL协议
内容提要
Let's Encrypt计划终止OCSP服务，转向CRL协议，以提高隐私性。OCSP协议存在隐私问题，而CRL协议不会收集用户IP地址和浏览记录。Let's Encrypt计划在未来6-12个月内全面转向CRL协议，但需要等待微软支持。
延伸解读
OCSP的隐私风险与CRL的改进
OCSP协议要求浏览器向CA机构查询证书状态，这会导致CA收集用户IP地址和访问的网站，存在隐私泄露风险。尽管Let's Encrypt自身不记录这些信息，但其他CA可能滥用。CRL协议则不会收集用户IP地址和浏览记录，隐私性更好。Let's Encrypt转向CRL正是为了消除这一隐私缺陷。
运营负担：OCSP的资源消耗
Let's Encrypt签发的证书数量庞大，每次用户访问使用其证书的网站时，浏览器都会向OCSP服务器发起请求，给服务器带来沉重负担。运营OCSP需要投入大量资源，而CRL协议可以减轻这种压力。因此，弃用OCSP也有助于降低Let's Encrypt的运营成本。
微软支持成为迁移关键
Let's Encrypt计划在未来6至12个月内全面转向CRL，但面临一个主要障碍：微软尚未将OCSP设置为可选，目前仍要求必须支持。如果过早停止OCSP服务，某些依赖OCSP的客户端程序可能停止工作。因此，Let's Encrypt需要等待微软调整策略，并希望微软能在未来6至12个月内完成。
Q&A
Let's Encrypt为什么要终止OCSP服务？
Let's Encrypt计划终止OCSP服务是为了提高用户隐私性，OCSP协议存在隐私问题，可能会记录用户的IP地址和访问的网站。
CRL协议相比OCSP协议有什么优势？
CRL协议不会收集用户的IP地址和浏览记录，提供更好的隐私保护，而OCSP协议则可能导致隐私泄露。
Let's Encrypt转向CRL协议的时间表是什么？
Let's Encrypt预计在未来6-12个月内全面转向CRL协议，但需等待微软的支持。
OCSP协议对服务器有什么影响？
运营OCSP协议需要大量资源，给服务器造成负担，尤其是当用户频繁访问使用Let’s Encrypt证书的网站时。
微软在OCSP协议转变中扮演什么角色？
微软尚未将OCSP设置为可选，当前仍为必须支持阶段，这影响了使用Let’s Encrypt证书的客户端程序的正常工作。
Let's Encrypt对微软的期望是什么？
Let's Encrypt希望微软在未来6-12个月内将OCSP设置为可选，以避免客户端程序停止工作。
