6.3.6 OCSP 响应者连不上

CRL 是把所有吊销记录打包成一份列表OCSP 是实时去问一个响应者这张证书现在还作数吗。两者目的相同路子不同。6.3.4 和 6.3.5 管的是 CRL这条管 OCSP。场景初始握手设备够不到 OCSP 响应者而收到的证书本身有效。设备要报Warning: OCSP responder not accessible维持连接继续握手。判定逻辑和 6.3.4 完全平行。OCSP 响应者挂了是基础设施的事不是对端的问题标准选择警告放行。什么时候才需要测这条挂 PICS。只有当 DUT 的 PICS 里声明了证书吊销检查方式包含 OCSP这条才适用。我们这台 DUT 走的是本地 CRL没有 OCSP所以是 NA。如果你手上的设备声明了 OCSP那就得先把响应者配起来再把它弄断。做法一般是让设备指向一个不存在的 OCSP 地址或者在测试机上用防火墙把到响应者的端口封掉。标准在脚注里也提示了可以中断设备与 OCSP 响应者之间的连接来造这个场景。判定检查项通过标准握手结果成功安全事件Warning: OCSP responder not accessible连接保持不断开一个提醒OCSP 和 CRL 是两套独立的检查机制一台设备可能同时支持也可能只支持其中一种。测之前先看 PIXIT 里Certificates Revocation Check methods那一栏声明了什么别把 CRL 的场景套到只支持 OCSP 的设备上反过来也一样。声明了哪种就测哪种没声明的直接标 NA。