何为证书吊销列表CRL?

http://blog.163.com/liu_sheng_han/blog/static/190591372201202710340212/

证书具有一个指定的寿命,但 CA 可通过称为证书吊销的过程来缩短这一寿命。CA 发布一个证书吊销列表 (CRL),列出被认为不能再使用的证书的序列号。CRL 指定的寿命通常比证书指定的寿命短得多。CA 也可以在 CRL 中加入证书被吊销的理由。它还可以加入被认为这种状态改变所适用的起始日期。

当我们在使用HTTPS(SSL)访问WEB站点时,浏览器会从服务器上下载其证书,并根据证书的“CRL分发点”指定的URL下载CRL(证书吊销列表),检查当前的证书是否在列表内。CRL包含有“下一次的更新”的日期,在该日期到来之前,Windows会直接使用已被缓存起来的CRL,等到下一次的更新日期到来之后才会再次下载CRL。证书可以通过IE浏览器的工具——Internet选项——内容——证书来查看,也可以单击“开始”——“运行”,输入“certmgr.msc“来打开。

何为证书吊销列表CRL?_第1张图片

何为证书吊销列表CRL?_第2张图片

 
    如果CRL不能被正常下载时,我们访问HTTPS站点时,就会提示不能检查服务器证书的吊销信息。如何解决这个问题呢?
方法有两种,手工下载CRL的和屏蔽CRL检查。

一、手工下载CRL
当弹出“该站点安全证书的吊销信息不可用,是否继续? ”的对话框时,点击“查看证书”,切换到“详细信息”TAB页,找到其“CRL分发点”的URL(有些证书也不一定有,可能是这些证书不需要检查CRL吧),复制下来,用迅雷等下载工具或找一台可以正常访问该URL的机器将该文件下载后并复制过来。

何为证书吊销列表CRL?_第3张图片


点击鼠标右键,选择“安装”,按照向导完成安装。此时再重浏览该站点就不会再收到“不能检查服务器证书的吊销信息”了。当然,当超过了“下一次的更新”日期,运气不佳的你可能又需要重做一次。

何为证书吊销列表CRL?_第4张图片

何为证书吊销列表CRL?_第5张图片

何为证书吊销列表CRL?_第6张图片

何为证书吊销列表CRL?_第7张图片

 

二、屏蔽CRL检查(视乎可以一劳永逸,却留有隐患)
打开Internet Explorer浏览器——工具——Internet 选项——高级,依次做如下操作:

何为证书吊销列表CRL?_第8张图片

 
 把其中“检查发行商的证书是否吊销”、“检查服务器证书吊销”的勾选去掉,也可以解决弹出安全证书的吊销信息不可用问题,但是这样证书的权威性和可信度就将低了。


你可能感兴趣的:(何为证书吊销列表CRL?)