LDAP和CRL有区别吗？

Question

在公钥基础设施的背景下？通过LDAP，我的意思是可以使用LDAP协议查询的LDAP服务器公开的公开可用公钥？ CRL代表证书撤销列表，换句话说，它包含不被信任的证书。这两个协议是否依赖于公钥证书的相同数据库？我在这里有一个CA，宣布它不会继续更新CRL，但他们对LDAP查询的响应似乎是最新的。

Answer 1

• LDAP是由RFC4511指定的小型轻量协议。如今，长期LDAP用于除参照目录信息树（DIT），以协议本身

• 一个证书吊销列表（CRL）是已被撤销的证书序列号的列表发布机构或审核部门，因此不能被客户

• LDAP通常作为PKI信息数据存储如公钥，私钥和证书可靠地使用，事实上在这个任务

  过人之处

Answer 2

• HTTP是CRL信息的备用访问方法。在美国联邦和CertiPath公钥基础设施中，HTTP已成为标准，LDAP现在不常见。
• CRL信息也可以通过使用Q & A样式方法查询特定数字证书/公钥的撤销状态的OCSP以1：1的方式获得。当需要最新的撤销信息或CRL规模巨大时（例如美国国防部的PKI），这一点特别有用。 HTTP是OCSP的协议，很少通过HTTPS完成，因为OCSP响应已经数字签名。

您的具体问题引用了CA意图不发布更多CRL更新。希望这意味着他们将完全停止CA操作，并将CA离线。显而易见的问题是，如果此CA颁发的任何最终实体密钥都丢失或被盗用，则不会有撤销信息。另外，一个在线的CA（自签名根目录）总是有被攻破的可能性，并且必须能够发布一个应该发生的撤销自己的CRL。请仔细考虑您对从不再具有权威性的可信机构颁发的凭证有多信任。