Online Certificate Status Protocol

Erro al crear miniatura:

Online Certificate Status Protocol

Online Certificate Status Protocol («Protocol de Verificació de Certificats en Llínea»), conegut simplement com OCSP, és un método per a determinar l'estat de vigència d'un certificat digital X.509 usant atres mijos que no siguen l'us de CRL (Certificate Revocation List, «Llistes de Revocació de Certificats»). Este protocol es descriu en el RFC 6960 i està en el registre d'estàndars d'Internet.

Els mensages OCSP es codifiquen en ASN.1 i habitualment es transmeten sobre el protocol HTTP. La naturalea de les peticions i respostes de OCSP fa que als servidors OCSP se'ls conega com "OCSP responders".

Ventages sobre les CRL

OCSP va ser creat per a solucionar certes deficiències de les CRL. Quan es desplega una infraestructura de clau pública (PKI, per les seues sigles en anglés), és preferible la validació dels certificats per mig de OCSP sobre l'us de CRL per vàries raons:

• OCSP pot proporcionar una informació més adequada i recent de l'estat de revocació d'un certificat.
• OCSP elimina la necessitat de que els clients tinguen que obtindre i processar les CRL, aforrant d'esta manera tràfic de ret i processat per part del client.
• El contingut de les CRL pot considerar-se informació sensible, análogamente a la llista de morosos d'un banc.
• Una "resposta OCSP" pot requerir d'un pagament per part de l'entitat que ho consulta.
• OCSP soporta l'encadenament de confiança de les peticions OCSP entre els "responders". Açò permet que els clients es comuniquen en un "respondre" de confiança per a llançar una petició a una autoritat de certificació alternativa dins de la mateixa PKI.
• Una consulta sobre l'estat d'un certificat sobre una CRL, deu recórrer-la completa secuencialmente per a dir si és vàlit o no. Un "OCSP respondre" en el fondo, usa un motor de base de senyes per a consultar l'estat del certificat solicitat, en totes les ventages i estructura per a facilitar les consultes. Açò es manifesta encara més quan el tamany de la CRL és molt gran.

Comparació d'eficiència CRL versus OCSP

Una diferència important entre CRL i OCSP, és que una CRL pot ser almagasenada temporalment per a fer consultes locals, en canvi per a usar OCSP es requerix de conexió en el moment de la consulta. Si be la CRL està disponible sense conexió, mentres més temps estiga sense actualisar-se, es fa menys confiable l'informació que nos brinde, perque poden haver-se revocat alguns certificats entre actualisacions.

Açò dona lloc a una diferència en l'eficiència de l'us de l'ample de banda per a efectes exclusius de consultes per estat de certificats.

Sobre l'ample de banda i al temps de validació

Si es considera que s'usa una CRL almagasenada per un temps per a ser consultada, versus l'ample de banda que s'usa per cada consulta a través de OCSP, existix una diferència d'us d'ample de banda que creix mentres aumenta el número de validació per dia que deu respondre l'Autoritat Certificadora. En CRL, l'ample de banda usat seguix una curva logarítmica, pel fet de que encara que aumenten les consultes diàries, estes es fan a la CRL almagasenada. En canvi, en OCSP, si les consultes aumenten necessàriament aumenta l'ample de banda usat, per lo que la curva resultant és llineal. Per açò, el temps de validació, a pesar de seguir la mateixa curva, en aumentar les validació per dia, usant CRL, el temps "llímit" és menor al que s'obté si s'usa OCSP.

Sobre el número d'usuaris

Si s'aumenta el número d'usuaris, de la mateixa manera que en el cas anterior, en algun punt CRL supera a OCSP sobre l'ample de banda necessari per a soportar la cantitat de consultes que es fan.