| 查看列表 | openssl crl -in ca.crl -noout -text |
|---|---|
| 有效期 | -nextupdate 判断列表是否仍在有效窗口 |
| 链上检查 | -crl_check_all 对整条链逐级检查吊销 |
| 错误码 | 23 = certificate revoked |
CRL 检查流程
CRL 检查流程
openssl crl -in ca.crl -noout -nextupdate
openssl verify -crl_check -CRLfile ca.crl -CAfile ca.pem leaf.pem
openssl verify -crl_check_all -CRLfile ca.crl -CAfile ca.pem leaf.pem过期的 CRL 不能作为吊销依据；较大规模 PKI 往往改用 OCSP 或短有效期证书来控制吊销传播的时效。