当我准备为我的机票付款时，我注意到英国航空公司网站的 SSL 证书有些奇怪。我的浏览器（谷歌浏览器）无法检查证书是否已被吊销！这是确切的消息：
来自谷歌浏览器的消息说：
本网站的身份已通过 GlobalSign 扩展验证 CA - SHA256 - G2 的验证，但没有公开审计记录。
无法检查证书是否已被吊销。
我检查了证书信息，证书本身似乎没有其他问题。我想知道的事情：
知道您的浏览器无法检查证书吊销这一事实，继续处理是否安全？
您如何准确地确认特定证书是否已被吊销？
网站证书吊销检查 - 大不了？
信息安全
tls
证书
证书吊销
2021-08-29 04:55:53
2个回答
撤销是证书颁发机构可以传播私钥已被泄露的信息的唯一方法。事实上，它是一个损害遏制系统：在私钥被盗的不幸事件中，撤销系统将确保在发现并报告盗窃后一周左右没有人信任相应的证书。如果客户不检查吊销状态，或者绕过它（正如您提议的那样），那么这个“一周”的延迟会延长到证书的到期日期，这可能需要数年时间。
根据定义，不检查吊销（或忽略检查吊销失败）会削弱系统，因此不能说它是“安全的”。但也许这并不是完全有风险的。在实践中，连接到假网站的风险很低，因为被盗的信用卡号码并不值钱，而且运行一个成功模拟真实航空公司预订系统的假网站需要做很多工作；可以窃取私钥的黑客可能不会这样做。但这是你的决定，不是我的。
如果您的浏览器无法确定吊销状态，那么您很可能也无法自行完成。但是，知道到底发生了什么可能会很有趣。通常，链中的每个证书都包含一个指向相关 CRL 位置的 URL（在CRL Distribution Points扩展中）。也许其中一些网站目前无法访问；也许他们托管的 CRL 已经过时，从而揭示了 CA 方面的技术故障。
（从我的机器上，现在，英国航空公司的证书看起来很好，包括撤销状态，所以故障很可能是暂时的。）
由于 CA 吊销服务不可用或发布 CRL 迟到而导致吊销检查失败的情况并不少见。所以你可能没问题。
撤销检查可以针对由 CA 定期（例如每 8 小时）发布的具有有效期的 CRL 文件，也可以使用在线证书状态协议 (OCSP) 端点。已过期的证书不会出现在 CRL 上。
所有流行的浏览器都支持 OCSP，尽管由于感知到的延迟问题，Chrome 默认禁用了它（请参阅Wikipedia OCSP entry）。
浏览器处理撤销检查的方式很复杂。Netcraft有一篇关于浏览器如何伪造整个撤销检查过程以加快浏览体验的优秀文章，尽管自 12 个月前编写以来情况可能发生了变化。