SSL Checker

فهرست ابطال گواهی (CRL) لیستی امضاشده است که مرجع صدور گواهی (CA) منتشر می‌کند و شماره سریال گواهی‌هایی را که پیش از تاریخ انقضای عادی باطل شده‌اند در خود دارد. مرورگرها و ابزارهای بررسی، CRL را از آدرس‌های CRL Distribution Points داخل گواهی دانلود می‌کنند و سریال را جست‌وجو می‌کنند. اگر سریال در فهرست باشد، حتی با تاریخ اعتبار ظاهراً درست، نباید به گواهی اعتماد کرد. CRL معمولاً دوره‌ای به‌روز می‌شود؛ OCSP روش پرس‌وجوی لحظه‌ای است و این ابزار هر دو را (در صورت وجود) بررسی می‌کند.

وقتی CA گواهی را باطل می‌کند، ممکن است یک کد استاندارد دلیل (CRLReason) هم ثبت کند. این کد نشان می‌دهد اعتماد چرا سلب شده است. در ادامه دلایل رایج طبق RFC 5280 آمده که ممکن است در نتیجه OCSP یا CRL ببینید.

• نامشخص (Unspecified) — دلیل جزئی اعلام نشده است.
• افشای کلید (Key compromise) — احتمال لو رفتن یا سرقت کلید خصوصی وجود دارد.
• افشای CA (CA compromise) — کلید یا سامانه‌های خود مرجع صدور به خطر افتاده است.
• تغییر وابستگی (Affiliation changed) — هویت یا سازمان صاحب گواهی تغییر کرده است.
• جایگزینی (Superseded) — گواهی جدیدتری جایگزین این گواهی شده است.
• توقف فعالیت (Cessation of operation) — سرویس یا نقش مرتبط با گواهی متوقف شده است.
• تعلیق موقت (Certificate hold) — ابطال موقت؛ ممکن است بعداً برداشته شود.
• حذف از CRL (Remove from CRL) — در CRL دلتا، وقتی تعلیق برداشته می‌شود.
• سلب دسترسی (Privilege withdrawn) — امتیازهایی که گواهی می‌داد پس گرفته شده است.
• افشای AA (AA compromise) — مرجع ویژگی (Attribute Authority) مرتبط به خطر افتاده است.