OCSP Stapling 将吊销信息缓存在服务端这不是和 CRL 具有相同的缺点了么？

[7DLNU56W]

CRL 的缺点之一就是因为列表是缓存的，客户端不能及时得到最新的吊销信息。为了解决这个问题才有了 OCSP，可是后来出现了 OCSP Stapling，将 OCSP 信息缓存在服务器端，这不是相当于于回到 CRL 了么，OCSP 信息被缓存，客户端岂不是仍然无法得到最新的吊销信息么？

[oovveeaarr]

个人猜测是因为代理服务器并没有办法修改 OCSP 的缓存时间，这个缓存时间完全是由 CA 的服务器可以控制的，这样就保证了用户拿到的是“可接受的最新版”。
毕竟对于 CA 来说，就算没 OCSP Stapling 也要做缓存，不然服务器早就炸了。

[7DLNU56W]

@oovveeaarr 这种情况，如果证书是在被缓存之后才吊销的是不是就无法下发正常的吊销信息了呢（ CRL 的缓存时间不也是 CA 控制的么）？如果私钥被别有用心的人盗取，会不会连 OCSP 状态正常的缓存也一起盗走呢？

[oovveeaarr]

请问“ CRL 的缓存时间不也是 CA 控制的么”是在哪里有叙述呢，我这边没有查询到相关信息，麻烦提供一下，可能是我的理解有误。

关于第二点，OCSP 是 CA 要做的事，所以只有可能是 CA 的私钥被盗用，才能做到“状态正常的缓存也一起盗走”

[Williamp]

OCSP stapling is a technology to check revocation status of X.509 digital certificates. If anyone has confusion regarding it then you can check this resource https://www.clickssl.net/blog/ocsp-stapling-check-your-certificate-revocation