第 7 章 撤销证书和发布 CRL

证书可以被最终用户（证书的原始所有者）或证书管理器代理撤销。最终用户可以使用在端点页面中提供的撤销表单来撤销证书。代理可以使用代理服务接口中的适当形式来撤销最终用户证书。这两种情况下都需要使用基于证书的（SSL/TLS 客户端身份验证）。

最终用户只能撤销包含与用于身份验证的证书相同的主题名称的证书。身份验证成功后，服务器会列出属于最终用户的证书。然后，最终用户可以选择被撤销的证书，也可以撤销列表中的所有证书。最终用户还可指定其他详情，如每个证书的撤销日期和撤销原因，或针对整个列表指定列表。

代理可以基于一系列序列号或基于主题名称组件来撤销证书。提交撤销请求时，代理会收到一个证书列表，从中可以选择一个要撤销的证书。有关代理如何撤销终止证书的说明，请参阅 Red Hat 证书系统 9 规划、安装和部署指南。

撤销请求后，证书管理器会将其内部数据库中对应的证书记录标记为已撤销，如果配置为这样做，则从发布目录中删除已撤销的证书。这些更改反映在 CA 问题的下一个 CRL 中。

使用公钥证书的服务器和客户端应用程序作为 ID 令牌需要访问证书的有效性。由于确定证书的有效性的因素之一就是其撤销状态，所以这些应用程序需要了解要被验证的证书是否已被撤销。CA 负责执行以下操作：

每当证书被撤销时，证书管理器都会自动更新其内部数据库中证书的状态，它会将其内部数据库中的证书副本标记为已撤销状态并从发布目录中移除证书。如果证书管理器被配置为从数据库中删除证书。

用于分发证书的标准方法之一是发布已撤销的证书列表，称为证书撤销列表(CRL)。CRL 是一个公开可用证书列表，已撤销。

证书管理器可以被配置为生成 CRL。通过在 CRL 配置中启用特定于扩展的模块，可以创建这些 CRL 以符合 X.509 标准。服务器通过其 CRL 发出点框架支持标准 CRL 扩展 ; 有关为发出点设置 CRL 扩展的更多信息，请参阅 第 7.3.3 节 “设置 CRL 扩展”。证书管理器可以在每次证书被撤销和定期间隔时生成 CRL。如果设置了发布，则 CRL 可以发布到文件、LDAP 目录或 OCSP 响应程序。

发布 CRL 并由发布 CRL 中列出的证书的 CA 发布或由该 CA 授权的实体发布并签名以发布 CRL 的实体。CA 可使用单个密钥对为证书和 CRL 签名它，或两个单独的密钥对，一个用于签名 CRL，另一个用于签名 CRL。

默认情况下，证书管理器使用一个密钥对对它生成的证书和 CRL 进行签名。要为证书管理器创建另一个密钥对，并专门用于签名 CRL，请参阅 第 7.3.4 节 “将 CA 设置为使用其他证书来签名 CRL”。

在签发点时生成 CRL，并配置了启用了 CRL 生成的时间。

启用 CRL 后，服务器会在撤销证书时收集撤销信息。服务器会尝试将撤销的证书与设置的所有发布点匹配。给定证书无法匹配任何发布点、其中一个发布点、多个发布点或所有发布点。当被撤销的与发布点匹配的证书时，服务器会将有关证书的信息存储在发出点的缓存中。

缓存会复制到内部目录，并以为复制缓存设定的时间间隔。当达到创建 CRL 的时间间隔时，会从缓存创建一个 CRL。如果为此发布点设置了 delta CRL，此时也会创建一个 delta CRL。完整的 CRL 包含所有已撤销的证书信息，因为证书管理器开始收集这些信息。delta CRL 包含自完整 CRL 最后一次更新以来所有已撤销的证书信息。

完整的 CRL 按顺序编号，如 delta CRL。完整 CRL 和 delta CRL 可以有相同的数字；在这种情况下，delta CRL 的编号与 下一个 完整 CRL 相同。例如，如果完整的 CRL 是第一个 CRL，则代表 CRL 1。delta CRL 为 Delta CRL 2。CRL 1 和 Delta CRL 2 中的数据与下一个完整的 CRL 相同，即 CRL 2。

内部数据库仅存储最新的 CRL 和 delta CRL。在创建每个新 CRL 时，旧的 CRL 将被覆盖。

当发布 CRL 时，对 CRL 和 delta CRL 每次更新都会发布到发布集合中指定的位置。发布方法决定了存储了多少个 CRL。对于文件发布，每个 CRL 使用 CRL 数量发布到文件中，因此不会覆盖任何文件。对于 LDAP 发布，发布的每个 CRL 都会替换包含目录条目中的 CRL 属性中的旧 CRL。

默认情况下，CRL 不包含关于已撤销过期证书的信息。服务器可通过为发出点启用该选项，包括撤销的过期证书。如果包含过期的证书，当证书过期时，不会从 CRL 中删除关于已撤销证书的信息。如果没有包含过期的证书，则在证书过期时从 CRL 中删除有关已撤销证书的信息。