💡
原文中文，约3400字，阅读约需9分钟。
📝
内容提要
文章讨论了Firefox、Chrome和Safari在处理SSL证书吊销信息时的不同策略。Firefox通过OCSP检查证书有效性，但在超时情况下会放行，存在安全隐患。提到OCSP装订和CRLite技术，后者提高查询速度并保护用户隐私。
🎯
关键要点
- Firefox、Chrome和Safari在处理SSL证书吊销信息时的策略不同。
- Firefox通过OCSP检查证书有效性，但在超时情况下会放行，存在安全隐患。
- Firefox在Android上对EV证书进行OCSP校验，跳过DV和OV证书以提高加载速度。
- Chrome和Edge不支持OCSP，Safari的OCSP功能默认禁用。
- SSL证书可能因私钥泄漏或CA漏洞被吊销，用户需依赖CA通知。
- Firefox通过OCSP和软失败机制接收吊销信息，超时情况下继续连接。
- OCSP检查的配置项包括是否开启、是否要求硬失败及超时时间设置。
- OCSP的弊端包括可能导致用户隐私泄漏和访问延迟。
- OCSP装订通过服务器缓存OCSP信息，避免用户直接查询CA。
- CRLite技术有效压缩吊销信息，提升查询速度，仍在开发中。
- CRLite查询速度比OCSP快，Firefox可在CRLite不可用时回退到OCSP。
- Let’s Encrypt计划在2024年关闭OCSP服务，CA/Browser Forum已通过相关投票。
❓
延伸问答
Firefox如何检查SSL证书的有效性？
Firefox通过OCSP向CA的服务器发送请求来检查SSL证书的有效性。
Chrome和Safari在SSL证书吊销检查上有什么不同？
Chrome和Edge不支持OCSP，Safari的OCSP功能默认禁用，而Firefox则支持OCSP检查。
OCSP检查的软失败机制是什么？
OCSP检查的软失败机制允许在请求超时的情况下继续连接，而不是拒绝连接。
CRLite技术如何提高SSL证书查询速度？
CRLite通过压缩吊销信息，使得查询速度比OCSP快，且在99%的情况下更快。
Firefox在移动端对EV证书的处理策略是什么？
Firefox在Android上只对EV证书进行OCSP校验，跳过DV和OV证书以提高加载速度。
OCSP装订的主要优点是什么？
OCSP装订可以避免用户直接查询CA，减少隐私泄漏风险，并提高连接的稳定性。
➡️
