吊销列表检查实操
吊销列表由 CA 定期发布，列出被吊销证书的序列号。验证命令可以在验证链的同时检查吊销状态，适合内网与私有 CA 场景。使用前必须确认列表仍在有效期内：过期的列表不能作为吊销依据，因为它之后的吊销信息并未包含在内。检查还可以选择只查叶证书或逐级检查整条链。
基本信息
| 查看列表 | 输出列表内容与吊销条目 |
|---|---|
| 有效期 | 判断列表是否仍在有效窗口 |
| 链上检查 | 可只查叶证书，也可逐级检查 |
| 错误码 | 指定编号表示证书已被吊销 |
典型使用场景
- 内网 PKI：用列表做离线吊销校验
- 排错：确认某张证书是否在吊销名单中
- 合规检查：确认吊销流程可执行
- 应急：证书泄露后核对列表是否已更新
- 方案评估：判断是否需要改为在线查询
检查流程
检查流程
openssl crl -in ca.crl -noout -nextupdate # 确认仍在有效窗口
openssl verify -crl_check -CRLfile ca.crl -CAfile ca.pem leaf.pem # 检查叶证书
openssl verify -crl_check_all -CRLfile ca.crl -CAfile ca.pem leaf.pem # 逐级检查
openssl crl -in ca.crl -noout -text | head -20 # 查看条目检查方式
| 方式 | 范围 | 特点 |
|---|---|---|
| 仅叶证书 | 只看终端证书 | 速度快 |
| 逐级检查 | 整条链 | 更严格，需各层列表 |
| 有效期检查 | 时效性 | 过期则结果不可信 |
过期的吊销列表不能作为吊销依据；较大规模 PKI 往往改用在线查询或短有效期证书来控制吊销信息的时效。
落地建议
- 把列表的更新时间纳入监控
- 为每一层 CA 分别获取对应列表
- 检查脚本与结果一并留档
- 定期演练证书泄露后的吊销流程
列表体积会随吊销数量增长，下载与解析成本上升；分片列表与短有效期是常见的缓解手段，选型时按规模评估。
检查步骤
- 先获取列表并确认仍在有效窗口内
- 核对列表的签发者与当前 CA 是否一致
- 对叶证书执行检查，必要时启用逐级检查
- 把结果与执行时间一并记录留档
吊销检查是链校验的一部分，不能替代链校验本身；签发者不受信任、名称不匹配等问题需要单独排查，两类失败的原因与处理方式不同。