LDAP和CRL有區別嗎？

Question

在公鑰基礎設施的背景下？通過LDAP，我的意思是可以使用LDAP協議查詢的LDAP服務器公開的公開可用公鑰？ CRL代表證書撤銷列表，換句話說，它包含不被信任的證書。這兩個協議是否依賴於公鑰證書的相同數據庫？我在這裏有一個CA，宣佈它不會繼續更新CRL，但他們對LDAP查詢的響應似乎是最新的。

Answer 1

• LDAP是由RFC4511指定的小型輕量協議。如今，長期LDAP用於除參照目錄信息樹（DIT），以協議本身

• 一個證書吊銷列表（CRL）是已被撤銷的證書序列號的列表發佈機構或審覈部門，因此不能被客戶

• LDAP通常作爲PKI信息數據存儲如公鑰，私鑰和證書可靠地使用，事實上在這個任務

  過人之處

Answer 2

• HTTP是CRL信息的備用訪問方法。在美國聯邦和CertiPath公鑰基礎設施中，HTTP已成爲標準，LDAP現在不常見。
• CRL信息也可以通過使用Q & A樣式方法查詢特定數字證書/公鑰的撤銷狀態的OCSP以1：1的方式獲得。當需要最新的撤銷信息或CRL規模巨大時（例如美國國防部的PKI），這一點特別有用。 HTTP是OCSP的協議，很少通過HTTPS完成，因爲OCSP響應已經數字簽名。

您的具體問題引用了CA意圖不發佈更多CRL更新。希望這意味着他們將完全停止CA操作，並將CA離線。顯而易見的問題是，如果此CA頒發的任何最終實體密鑰都丟失或被盜用，則不會有撤銷信息。另外，一個在線的CA（自簽名根目錄）總是有被攻破的可能性，並且必須能夠發佈一個應該發生的撤銷自己的CRL。請仔細考慮您對從不再具有權威性的可信機構頒發的憑證有多信任。