Protocol(OCSP)は、X.509公開鍵証明書の失効状態を取得するための通信プロトコルである。規定されており、インターネット標準トラック上にある。使う際の問題に対応している。使ってやり取りされる。要求/応答型メッセージであることから、OCSPのサーバを「OCSPレスポンダ」と呼ぶ。比較[編集]OCSP応答は典型的なCRLよりも情報が少ないため、OCSPは証明書の失効状態をよりタイムリーに提供できる。クライアントが応答をキャッシュしないと、要求回数の増大によって利点が生かせなくなる可能性がある。OCSPを使えば、クライアントがCRLを構文解析する必要がなくなり、クライアント側の複雑さが低減される。これもキャッシュを保持する必要性によって相殺される。関連の機能をアプリケーションが独自に実装することは滅多になく、サードパーティ製ライブラリを使うため、このような考慮はあまり意味がない。クレジットカード会社の「悪質顧客リスト」のようなものと考えられるかもしれない。知らせる必要のない情報まで公開しているとも考えられる。OCSPは特定のネットワークホストが特定の時間に特定の証明書を使っただろうことをレスポンダに明らかにする。OCSPは暗号化を強制していないので、この情報は第三者に横取りされるかもしれない。あるイバンの発行した公開鍵証明書を持っている。アリスはボブと取引したいので、彼に自身の公開鍵証明書を送る。ボブはアリスの秘密鍵が失効していないかを確認するため、アリスの公開鍵のメッセージダイジェストを含むOCSP要求を作成し、イバンに送る。OCSPレスポンダであるイバンはアリスの証明書の失効状態をCAデータベースで参照する。アリスの秘密鍵が失効しているかどうかについて信頼できる記録があるのは、CAデータベースだけである。イバンはアリスの証明書の有効性を確認すると、デジタル署名付きのOCSP応答をボブに返す。ボブは応答の署名を検証し(ボブはイバンの公開鍵を持っており、イバンは信頼できるレスポンダである)、それが最新のものであることを確認する。ボブはアリスとの取引を実行する。いずれかの応答を署名付きで返す。要求を処理できない場合は、エラーコードを返すこともある。OCSP要求のフォーマットには付加的な拡張がある。これにより、特定のPKI方式にカスタマイズすることが可能である。OCSPは反射攻撃に対して耐性がある。署名された「有効」な応答を悪意ある第三者が横取りした場合、その証明書が失効になった後でクライアントに対してそれを使う攻撃である。OCSPでは、Nonce(使い捨ての数字)を要求に含め、対応する応答に同じものを含めなければならないとすることで対処している。反射攻撃は1つの可能性ではあるが、認証システムでは主要な脅威ではない。これはその脆弱性を利用した攻撃の手順に起因する。攻撃者は以下のことをしなければならない。トラフィックを監視して、その後にそのトラフィックに応答する。証明書の状態を監視して、それが変更されたことを確認する。応答の妥当な時間内に証明書の状態を要求するトランザクションを実施する。失効した証明書が有効になることは滅多にないので(停止されているだけならば可能性はある)、攻撃者は有効な応答を捉え、証明書が失効するのを待ち、それを使う必要がある。OCSPは複数レベルのCAをサポートできる。OCSP要求をレスポンダ間で連鎖させ、発行元のCAがその証明書を発行するのに適切かどうかを調べることができる。レスポンダは自身のOCSP要求を使ってルートCAに対して相互の妥当性を保証する。サーバから失効情報を要求されることがある。OCSP自身は供給された証明書についてDPVを実行することはない。チェックのサポートを開始した。チェックをサポートしている。既定でチェックが有効となる。チェックをサポートしている。チェックをサポートしている。チェックをデフォルトでは無効にした[1]。(日本における初の男子普通選挙)(1928年)小林多喜二が特高警察の拷問により築地警察署で死亡(1933年)シャーリー・テンプルが史上最年少(6歳)でアカデミー賞特別賞を受賞(1935年)ソ連が千島列島・南樺太の領土編入を正式に宣言(1946年)東大ポポロ事件(1952年)アメリカが有人宇宙船「マーキュリー・アトラス6号」(フレンドシップ7)を打上げ。