第 7 章 吊销证书并颁发 CRL

证书可由最终用户（证书的原始所有者）或证书管理器代理撤销。最终用户可以使用终端实体页面中提供的撤销表单来撤销证书。代理可以使用代理服务接口中的适当的表单来撤销最终用户证书。这两种情况下都需要基于证书的(SSL/TLS 客户端身份验证)。

最终用户只能撤销包含与为身份验证提供的证书相同的主题名称的证书。身份验证成功后，服务器会列出属于最终用户的证书。然后，最终用户可以选择要撤销的证书，也可以撤销列表中的所有证书。最终用户也可以指定附加详情，如每个证书撤销和吊销原因的日期，或整个证书的列表。

代理可以根据一系列序列号或主题名称组件吊销证书。提交撤销请求时，代理会收到它们可从中获取的证书列表。有关代理如何撤销最终用户证书的说明，请参阅 Red Hat Certificate System Planning、安装和部署指南。

批准撤销请求时，证书管理器在其内部数据库中将对应的证书记录标记为撤销，如果配置为这样做，请从发布目录中删除撤销的证书。这些更改反映在 CA 问题的下一个 CRL 中。

使用公钥证书的服务器和客户端应用需要访问证书的有效性的信息。由于决定证书的有效性的一个因素是其撤销状态，这些应用程序需要知道是否已撤销的证书。CA 负责执行以下操作：

每当撤销证书时，证书管理器会自动更新其内部数据库中证书的状态，它会将内部数据库中的证书副本标记为撤销，如果证书管理器被配置为从数据库中删除证书。

传递证书撤销状态的标准方法是发布吊销的证书列表，即一个证书撤销列表(CRL)。CRL 是一个公开可用的证书列表，它已被撤销。

证书管理器可以配置为生成 CRL。通过在 CRL 配置中启用特定于扩展的模块，即可创建这些 CRL 以符合 X.509 标准。服务器通过其 CRL 发布点框架支持标准 CRL 扩展；有关设置 CRL 扩展以进行发布点的更多信息，请参阅 第 7.3.3 节 “设置 CRL 扩展”。证书管理器可在每次撤销证书时生成 CRL，并以定期间隔生成 CRL。如果设置了发布，则 CRL 可以发布到文件、LDAP 目录或 OCSP 响应器。

CRL 由发布 CRL 中列出的证书的 CA 或 CA 已授权的实体发布并数字签名。CA 可以使用单个密钥对为证书签名，以及它发布或两个单独的密钥对，一个用于签名证书，另一个用于签名 CRL。

默认情况下，证书管理器使用单个密钥对来签署它发布的证书及其生成的 CRL。要为证书管理器创建另一个密钥对，并将其专门用于签名 CRL，请参阅 第 7.3.4 节 “将 CA 设置为使用不同的证书来签名 CRL”。

在定义和配置点时，生成 CRL，并在启用 CRL 生成时生成。

启用 CRL 后，服务器会在证书被撤销时收集撤销信息。服务器会尝试将撤销的证书与设置的所有发布点匹配。给定证书可以匹配任何问题点、一个发布点、几个发布点或所有发布点。当已撤销的证书与发布点匹配时，服务器会将有关证书的信息存储在那个发布点的缓存中。

缓存按照复制缓存的时间间隔复制到内部目录中。当达到创建 CRL 的时间间隔时，会从缓存创建一个 CRL。如果为此问题设置了 delta CRL，则在此时也会创建一个 delta CRL。自证书管理器开始收集此信息以来，完整的 CRL 包含所有撤销的证书信息。自上次更新完整 CRL 后，delta CRL 包含所有撤销的证书信息。

完整的 CRL 按顺序编号，如 delta CRLs。完整的 CRL 和 delta CRL 的数字相同；在这种情况下，delta CRL 的数字与 下一个 完整 CRL 相同。例如，如果完整的 CRL 是第一个 CRL，它是 CRL 1。delta CRL 是 Delta CRL 2。CRL 1 和 Delta CRL 2 的数据与下一个完整 CRL 2 合并，后者为 CRL 2。

内部数据库仅存储最新的 CRL 和 delta CRL。当每个新的 CRL 都被创建时，旧的 CRL 都会被覆盖。

发布 CRL 后，每次更新到 CRL 和 delta CRL 都会发布到发布设置中指定的位置。发布方法决定了存储多少个 CRL。对于文件发布，使用 CRL 的数字发布到文件的每个 CRL，因此不会覆盖任何文件。对于 LDAP 发布，发布的每个 CRL 都取代了目录条目中包含 CRL 的属性中的旧 CRL。

默认情况下，CRL 不包含有关撤销过期证书的信息。服务器可以通过为发布点启用该选项来包括撤销的过期证书。如果包含过期的证书，当证书过期时，有关撤销的证书的信息不会从 CRL 中删除。如果没有包含过期的证书，当证书过期时，有关撤销的证书的信息会从 CRL 中删除。