OCSP証明書は有効期限内であっても、失効している可能性がある。CRLでは、クライアントが失効リストを取って来て、その中に対象があるかないかを調べる。TLSクライアントが、OCSPサーバに問い合わせるのは現在では非推奨である。サーバの情報は、証明書の中に入っている。fetch-ocsp-responseがある。Transperancyは、(理想的にはすべての)証明書を登録するサービスである。ロガー呼ばれるサーバには、証明書の追加だけができるログを持っている。ある証明書のハッシュを送ると、ログの中に存在しているか確認できる。ロガーから、証明書群の差分を取れる。ロガーが持っている証明書すべてを取得できるので、不正な証明書が発行されてないか調べられる。自分のドメインを名乗る不正なサーバに対する証明書を発見できる。ロガーには、サーバ名から証明書を検索する機能はない。いうサービスは、上記二番目の機能を使って外部に作る。timestamp)を返す。これは、ロガーの署名が付いた存在証明である。TLSクライアントは、SCTの署名をロガーの公開鍵で検証すれば、対応する証明書がログに入っていることを確認できる。ロガーに問い合わせる必要はないし、TLSクライアントがロガーに問い合わせるのは非推奨である。TLSサーバからTLSクライアントにSCTを渡すには、2つの方法がある。配布するには、以下の方法がある。証明書を登録するようだ。知っているが、残念ながらそれをサーバ管理者には教えてくれない。拡張は入っていない八方塞がりである。この方法を実現してくれるのが、ct-submitである。(もちろん新規登録も可能。1.3を使う方法のまとめ。1.3を使う方法の覚書き。2016の13日目の記事です。山本和彦id:kazu-yamamoto子育て真っ最中のHaskeller。Haskell月別アーカイブはてなブログをはじめよう!kazu-yamamotoさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。