15、数字证书与零知识证明技术解析

数字证书与零知识证明技术解析

1. 浏览器对吊销的 SSL/TLS 证书的处理

大多数浏览器会通过应用更新获取吊销证书列表。不过，2021 年 2 月 SSL.com 对流行浏览器的测试显示，吊销检查并不完善，主要集中在涉及根证书和中间证书的高优先级和紧急事件上。这就导致即使网站证书已被泄露和吊销，浏览器仍可能显示通过 TLS 安全连接。

为改善这种情况，可以开启 OCSP（在线证书状态协议），但多数浏览器默认关闭它。因为开启后，浏览器常无法可靠获取某些证书的 CRL（证书吊销列表）信息，每次都会发出提示。

证书吊销是数字证书使用中的一大漏洞，许多应用不支持，CA（证书颁发机构）也常使获取 CRL 变得困难或成本高昂。对于网页浏览器而言，这或许影响不大，但在控制对高敏感应用的访问或保护敏感数据的认证方案中，证书吊销问题就更为关键。

1.1 处理证书吊销的方法及问题

处理方法	优点	缺点
定期更新 CRL 列表	可获取最新吊销信息	检查不完善，集中在部分事件
开启 OCSP	实时检查证书状态	可靠性差，常无法获取信息

2. 公钥基础设施（PKI）

公钥基础设施（PKI）