2024年，Firefox 是唯一还在坚持执行在线的 SSL 证书吊销状态检查的主流浏览器
内容提要
文章讨论了Firefox、Chrome和Safari在处理SSL证书吊销信息时的不同策略。Firefox通过OCSP检查证书有效性，但在超时情况下会放行，存在安全隐患。提到OCSP装订和CRLite技术，后者提高查询速度并保护用户隐私。
关键要点
-
Firefox、Chrome和Safari在处理SSL证书吊销信息时的策略不同。
-
Firefox通过OCSP检查证书有效性，但在超时情况下会放行，存在安全隐患。
-
Firefox在Android上对EV证书进行OCSP校验，跳过DV和OV证书以提高加载速度。
-
Chrome和Edge不支持OCSP，Safari的OCSP功能默认禁用。
-
SSL证书可能因私钥泄漏或CA漏洞被吊销，用户需依赖CA通知。
-
Firefox通过OCSP和软失败机制接收吊销信息，超时情况下继续连接。
-
OCSP检查的配置项包括是否开启、是否要求硬失败及超时时间设置。
-
OCSP的弊端包括可能导致用户隐私泄漏和访问延迟。
-
OCSP装订通过服务器缓存OCSP信息，避免用户直接查询CA。
-
CRLite技术有效压缩吊销信息，提升查询速度，仍在开发中。
-
CRLite查询速度比OCSP快，Firefox可在CRLite不可用时回退到OCSP。
-
Let’s Encrypt计划在2024年关闭OCSP服务，CA/Browser Forum已通过相关投票。
延伸解读
Firefox的安全策略与隐患
Firefox在SSL证书吊销检查中采用OCSP机制，但在超时情况下会放行连接，这可能导致安全隐患。用户在使用Firefox时需注意，尽管其提供了更严格的检查，但在网络不稳定时，可能会面临被攻击的风险。
OCSP与CRLite的比较
OCSP检查虽然能提供证书状态，但存在访问延迟和隐私泄漏的风险。相比之下，CRLite技术通过本地查询提升了速度和隐私保护，未来可能成为更优的选择。用户应关注浏览器对这两种技术的支持情况。
移动端的安全妥协
在Firefox的移动端版本中，仅对EV证书进行OCSP校验，跳过DV和OV证书以提高加载速度。这一策略虽然提升了用户体验，但也可能降低了安全性，用户在使用移动浏览器时需权衡速度与安全。
延伸问答
Firefox如何检查SSL证书的有效性？
Firefox通过OCSP向CA的服务器发送请求来检查SSL证书的有效性。
Chrome和Safari在SSL证书吊销检查上有什么不同？
Chrome和Edge不支持OCSP，Safari的OCSP功能默认禁用，而Firefox则支持OCSP检查。
OCSP检查的软失败机制是什么？
OCSP检查的软失败机制允许在请求超时的情况下继续连接，而不是拒绝连接。
CRLite技术如何提高SSL证书查询速度？
CRLite通过压缩吊销信息，使得查询速度比OCSP快，且在99%的情况下更快。
Firefox在移动端对EV证书的处理策略是什么？
Firefox在Android上只对EV证书进行OCSP校验，跳过DV和OV证书以提高加载速度。
OCSP装订的主要优点是什么？
OCSP装订可以避免用户直接查询CA，减少隐私泄漏风险，并提高连接的稳定性。
