CyberGlossary

Netzwerksicherheit

OCSP (Online Certificate Status Protocol)

Auch bekannt als: Online Certificate Status Protocol, OCSP-Stapling

Definition

HTTP-basiertes Protokoll, mit dem ein Client in Echtzeit beim Responder einer CA prüft, ob ein bestimmtes X.509-Zertifikat gültig, widerrufen oder unbekannt ist.

OCSP nach RFC 6960 ersetzt große, langsam aktualisierte CRLs durch eine Echtzeitabfrage. Der Client sendet eine signierte Anfrage mit der Seriennummer des Zertifikats an den in der Erweiterung Authority Information Access genannten OCSP-Responder. Dieser antwortet mit einem signierten Status (good, revoked, unknown), den die Relying Party nach Prüfung der Signatur akzeptiert. OCSP-Stapling erlaubt dem TLS-Server, die Antwort selbst zu holen, zu cachen und im Handshake mitzuschicken, was Privatsphäre und Performance der Clients verbessert. In Kombination mit Must-Staple wird Sperrprüfung in TLS verlässlich durchsetzbar.

Beispiele

  • Ein Browser sendet eine OCSP-Anfrage, um das Zertifikat einer Online-Banking-Seite zu prüfen.
  • Ein HTTPS-Server mit aktivem OCSP-Stapling liefert in jedem Handshake einen frischen, signierten Status.

Verwandte Begriffe