Что такое CN OCSP и для чего он используется?
Что такое OCSP?
OCSP (Online Certificate Status Protocol, протокол онлайн-статуса сертификата) — это стандартный протокол в инфраструктуре PKI, предназначенный для проверки в реальном времени, не был ли отозван SSL-сертификат. Клиент (например, браузер) при установке HTTPS-соединения отправляет запрос на OCSP-сервер центра сертификации и проверяет, действителен ли сертификат в данный момент.
Что такое CN OCSP?
CN OCSP — это локальные узлы проверки OCSP, развёрнутые для материкового Китая / внутренний сервис разрешения OCSP.
Поскольку OCSP-серверы основных центров сертификации в большинстве своём размещены за рубежом, у клиентов внутри Китая при обращении к ним могут возникать следующие проблемы:
- высокая задержка, замедляющая рукопожатие HTTPS;
- потеря пакетов или недоступность, приводящие к сбою проверки сертификата;
- помехи или блокировка в некоторых сетевых средах.
Назначение CN OCSP
CN OCSP решает следующие задачи за счёт развёртывания локальных узлов проверки на территории материкового Китая:
- Ускорение проверки статуса сертификата: пользователи внутри страны обращаются к ближайшему OCSP-узлу, что значительно снижает сетевую задержку.
- Повышение стабильности доступа: позволяет избежать потери пакетов и тайм-аутов при трансграничном обращении к зарубежным OCSP-серверам.
- Предотвращение ложных срабатываний: уменьшает количество ошибок «сертификат не является доверенным», вызванных недоступностью сети.
В настоящее время такие бренды, как sslTrus и CFCA, уже развернули OCSP-узлы на территории Китая, что позволяет эффективно обеспечивать качественную проверку SSL-сертификатов для пользователей внутри страны.