CyberGlossary

网络安全

证书吊销列表(CRL)

别称: CRL, 吊销列表

定义

由 CA 定期签发的吊销证书清单,列出在自然到期之前已被作废的证书,供依赖方判断证书是否仍可信。

CRL 是由 CA 签名的文档,包含已不再被信任的证书序列号及吊销日期,常见原因包括私钥泄露、申请者信息变化或错误签发。依赖方(浏览器、TLS 客户端等)会从证书 CRLDistributionPoints 扩展指定的位置下载 CRL,凡是序列号出现其中的证书一律拒绝。CRL 在缓存后可离线使用,但体积会持续增大,且更新可能滞后数小时甚至数天,因此现代部署越来越倾向于 OCSP、OCSP 装订、短期证书,以及 CRLite 等压缩列表方案。

示例

  • 某 CA 每 24 小时发布 crl.example/ca.crl,客户端据此刷新吊销信息。
  • VPN 网关启动时加载 CA 的 CRL,拒绝已吊销的客户端证书。

相关术语