欢迎阅读证书吊销列表（CRL）基本指南，这是在线安全的一个重要方面。 本指南将剔除专业术语，直奔主题。
你有没有想过，当数字证书变得不可信时，会发生什么？ 将其视为数字世界中的一面红旗，预示着潜在的风险。 我们在此对 CRL 进行解析–它们是什么、包含哪些内容以及为什么要关注它们。
我们将提供证书被吊销的真实案例，向您展示忽视证书重要性的实际后果。 通过本指南的学习，你将掌握定期检查 CRL 对维护数字证书完整性的重要意义。
没有修饰，只有事实。 让我们直接进入主题。 那么，什么是网络安全中的 CRL？
目录
什么是证书吊销列表？
证书吊销列表（ CRL）本质上是一份失信数字证书的黑名单。 该列表由证书颁发机构 (CA) 维护，其中包含该机构在预定到期日之前撤销的所有SSL 证书。 这一过程也称为 PKI 证书吊销。
当您上网浏览时，浏览器会不断交叉检查该列表。 如果遇到 CRL 上的证书，它就不会信任与该证书相关的网站或服务。 这是一项重要的安全措施，有助于确保在线数据传输的完整性。
但 CA 为什么要首先撤销证书呢？ 原因可能是多方面的。 可能是证书的私钥被泄露，也可能是 CA 签发的证书有误。 无论原因如何，证书一旦被列入 CRL，就不再受信任。
为确保这一安全措施的有效性，CA 必须定期更新 CRL，并使用户系统能够方便地访问它。 这是认证机构的主要职责之一。 它们还必须为用户提供检查证书撤销状态的机制，通常是通过在线服务。
证书吊销列表的目的是什么？
CRL 是一种通过管理和跟踪可能危及系统安全的不安全证书来增强在线安全性的工具。 其目的是提供一个严格的制衡系统，标记任何有问题的证书，以防止潜在的网络攻击。
通过了解 CRL 的作用，您可以更好地管理数字安全框架。 以下是需要注意的几个要点：
- CRL 包含不再有效的证书。
- 必须定期更新 CRL，以跟踪无效证书。
- 使用 CRL 可以降低证书被滥用的风险。
- 通过 CRL 确保 SSL 证书的有效性是一种积极主动的安全措施。
CRL 的优势
CRL 有几个主要优点：
- 它能立即使受损证书失效，从而防止未经授权的访问。
- 它支持在线证书状态协议（OCSP），可验证数字证书的状态。
- 它通过维护证书的完整性来增强整体网络安全。
- 它可以降低与证书受损或过期有关的潜在网络风险。
- 它确保了安全可靠的在线环境，促进了信任。
管理不安全证书
在加强在线安全的同时，了解 CRL 在管理不安全证书方面的作用至关重要。
如你所知，CRL 是签发证书的证书颁发机构在公钥证书到期前撤销公钥证书的列表。 这些证书被称为 “不可信证书”，会因各种原因失效，如私钥泄露或被伪造签名。 它们对您的在线安全构成重大威胁。
因此，CRL 在降低这种风险方面发挥着不可或缺的作用。 它有助于快速识别和拒绝不可靠的证书，防止第三方访问和潜在的数据泄露。
CRL 包括哪些内容？
证书废止列表包括证书颁发机构名称、列表更新时间和废止证书列表等重要元素，每个证书都有自己独特的序列号和废止日期。
- 版本号：表示 CRL 格式的版本。
- 签名算法标识符：指定 CA 签名 CRL 所使用的算法。
- 签发者：标识签发 CRL 的实体（通常是证书颁发机构）。
- 本次更新：表示 CRL 的签发日期。
- 下次更新：指定下一个 CRL 的计划发布时间。 在此日期之前，当前的 CRL 被视为有效。
- 已撤销证书：包含 CA 已撤销的数字证书列表。 每个条目包括序列号、撤销日期，有时还包括原因代码。
- 扩展：附加信息或功能，如 CRL 分发点、授权密钥标识符或其他自定义扩展。
证书废止列表由 CA 定期更新和发布，以确保依赖方（使用证书的实体）能在一定时间内获取有关证书废止的最新信息。
CRL 如何工作？
现在，让我们来看看 CRL 是如何运行的。 CRL 分发到指定点，然后进行细致的撤销检查。 处理废止的证书和定期更新 CRL 是确保系统有效性和安全性的关键步骤。
CRL 分发点
CRL 分发点是 CRL 运行的核心部分。 它们是存储和分发 CRL 的服务器。 它们是管理和验证数字证书状态的枢纽。
分发点从 CA 接收有关证书撤销状态的更新。 每次证书被吊销，CA 都会更新 CRL 分发点。
浏览器等终端实体可查询证书废止列表分发点，以检查证书的废止状态。 分发点将 CRL 发送给所有提出请求的实体。
撤销检查程序
在关注 CRL 分发点作用的同时，让我们深入了解一下撤销检查流程或 CRL 的实际运作情况。
在证书吊销检查过程中，系统首先从指定的分发点获取证书吊销记录。 该列表包含所有在到期日前被撤销的证书。
然后，系统会将提交的证书与该列表进行交叉检查。 如果证书在 CRL 中被发现，就会被视为不可信，连接也会被拒绝。 这一过程可确保被撤销的证书不会被误信，从而维护安全性。
不过，CRL 必须保持最新，因为过时的信息会影响检查程序的完整性。
处理废止的证书
以下是 CRL 流程的工作原理：
- CA 颁发证书并维护 CRL。
- 如果证书泄露，CA 会撤销该证书。
- CA 更新证书废止列表，将废止证书的序列号包括在内。
- 服务器收到客户证书时，会检查 CRL。
- 如果客户证书在 CRL 上，服务器会拒绝连接。
定期更新 CRL
CRL 发布者会定期发布更新，以保持列表的完整性和可靠性。 这种定期更新消除了信息过时的风险，因为过时的信息可能会危及系统和敏感数据的安全。
更新不是一项简单的手动任务。 相反，它涉及一个由特定协议规定的复杂技术过程。 CA 注销证书时，会更新 CRL。 然后，由签发者对 CRL 进行数字签名，并分发给依赖 CRL 的所有实体。 这一过程必须正确运行，因为错误会导致重大安全漏洞。
如何查看证书的撤销状态
访问 CRL 取决于签发您感兴趣的证书的特定证书颁发机构。 CRL 通常由 CA 在证书中指定的特定分发点提供。
要找到 CRL 分发点，可以检查证书本身。 以下是证书吊销状态检查的一般指南：
通过浏览器中的证书详细信息
如果你有证书文件，通常可以使用证书查看器或支持证书检查的应用程序打开它。
- 点击 URL 旁边的挂锁图标。
- 点击 “连接安全“，然后点击 “证书有效“。
- 查找CRL Distribution Points (CDP)扩展名。
- CDP 扩展名包含一个或多个指向 CRL 发布位置的 URL。
- 打开 “详细信息 “选项卡，在 “证书字段“下拉至 “扩展“。
- 单击CRL 分布点。
- 在字段值中，复制 URL 并将其粘贴到地址栏中。
- 浏览器将下载 CRL 文件。 打开它可查看撤销列表信息。
通过 OpenSSL
下面举例说明如何使用OpenSSL 获取 CRL：
openssl crl -inform DER -in exampleca.crl -text
将exampleca.crl 替换为要检查的 CRL 的实际文件名或 URL。
请记住，有些 CA 可能会通过不同的机制（如 LDAP（轻量级目录访问协议）或其他协议）提供 CRL。 此外，一些 CA 可能会提供 OCSP（在线证书状态协议）服务，以替代 CRL。
如果您与特定 CA 合作，请查看其文档或网站，了解如何访问其 CRL 文件。 如果您只是在寻找示例，一些 CA 会提供示例或公开可用的 CRL 供测试之用，但一定要谨慎，并遵守与此类资源相关的任何使用条款。
常见问题
在哪里可以找到证书吊销列表？
要进行证书检查，客户端会连接到证书颁发机构指定的 URL，下载证书吊销列表。 这些列表包含有关已撤销证书的信息。 您可以在 SSL 证书详细信息中的证书扩展（Certificate Extensions），特别是在 CRL Distribution Points（CRL 分配点）部分找到 CRL URL。
如何创建证书吊销列表？
要创建证书废止列表，可使用 CA 工具或软件生成列表，包括废止证书的详细信息，然后将证书废止列表分发给公钥基础设施（PKI）系统中依赖该列表进行证书验证的实体。
如何在 Windows 中查看证书吊销列表？
在 Windows 中，通过 “certmgr.msc “命令打开证书管理器，导航到 “吊销列表 “文件夹，然后选择所需的吊销列表查看其详细信息，即可查看证书吊销列表（CRL）。 另外，也可以在命令提示符中使用 “certutil “命令，在”-urlcache “选项后加上 CRL URL，以显示 CRL 的相关信息。
CRL 和 OCSP 有什么区别？
这两种方法都用于网络安全，以检查数字证书（如 HTTPS 中使用的数字证书）是否仍然有效。 它们的主要区别在于提供信息的方式不同：CRL 使用定期更新的废止证书列表，而 OCSP 则直接实时查询证书颁发机构，以确认证书状态。
谁在检查证书吊销状态？
检查证书吊销状态的责任在于客户端（浏览器）。 浏览器有责任在建立连接前验证证书是否已被撤销。
吊销的证书会怎样？
当证书被废止时，表示该证书不再有效。 浏览器等依赖方将因此拒绝基于该证书的连接，从而提高安全性并降低潜在风险。
结论
总之，证书吊销列表通过及时使受损或被吊销的证书失效，有助于维护数字通信安全。 它的有效实施确保了在线交易和通信的完整性和可信性。 随着技术的发展，不断完善网络安全机制中的 CRL 仍是保持数字安全框架稳健性的当务之急。
