Sectigo 網誌
甚麼是證書吊銷？應在何時吊銷 SSL 證書？
數碼證書是身份優先安全體系的核心基礎，包含證書吊銷在內的生命週期管理至關重要，可防範安全漏洞與數據泄露。
證書吊銷的作用是甚麼？
當 SSL/TLS 證書出現安全風險時，證書吊銷可作為防護機制。一旦檢測到風險跡象，應當及時吊銷數碼證書，防止未授權用戶冒用主體身份，避免攻擊者利用已泄露的證書實施惡意行為。
從單個證書層面看，吊銷機制可保障每一張證書正常發揮核心作用：建立安全連接，最終為業務提供更可靠的安全保障。從更宏觀的層面看，吊銷能力同樣重要，它是整體風險管理工作的組成部分，有助於提升 Web 伺服器、瀏覽器及相關參與方之間的信任水平。
SSL 證書的吊銷時機
證書吊銷是十分常見的操作，證書持有者在證書生命週期內執行該操作屬於正常情況。SSL 證書被吊銷的主要原因如下：
密鑰洩露。 觸發證書吊銷的核心場景之一：證書對應的密鑰出現被盜或其他洩露跡象。密鑰洩露可能由密鑰管理不善、加密強度不足或其他各類問題導致——一旦出現該情況，必須立即吊銷對應證書。
錯誤簽發。 數碼證書的核心作用是驗證證書持有者的身份。如果證書頒發機構（CA）未完成對該身份的合規驗證，證書頒發機構（CA），獲取證書的實體可能存在欺詐行為。在某些場景下，威脅行為者已通過網絡釣魚及其他惡意活動成功獲取證書。儘管與公信力較強的證書頒發機構（CA）合作可降低此類問題發生的可能性，但預留證書吊銷選項也十分重要——這樣在最壞情況下，錯誤簽發的證書可被及時吊銷。
域名所有權變更。證書吊銷並非完全是事後響應措施。域名所有權變更時也可能執行證書吊銷，目的是防止新的域名所有者濫用證書。此類場景下，若證書的真實性受到質疑會引發信任問題，因此也有必要執行吊銷。
網絡攻擊。發生惡意軟件或其他網絡攻擊事件時，及時吊銷證書至關重要。否則，被劫持的證書可能被用於進一步傳播惡意軟件。
什麼是證書吊銷列表（CRL）？
證書吊銷列表（CRL）是一份已被吊銷的數碼證書記錄清單。該列表由證書頒發機構（CA）生成並進行數碼簽名，用於直觀標識哪些證書已失效、不可信任。
CRL條目可包含證書序列號，以及吊銷日期、簽發CA等相關詳情。這些條目會被分發至各個分發站點以保障可訪問性，方便依賴方隨時下載並緩存這些資源。CRL需定期更新，以確保已吊銷證書的相關信息準確無誤。
什麼是在線證書狀態協議（OCSP）？
在線證書狀態協議（OCSP）支持實時查詢證書狀態：Web瀏覽器及其他實體可向OCSP伺服器發送請求，獲取某一證書的吊銷狀態信息。該機制彌補了CRL的不足，因為CRL僅定期更新，無法提供實時狀態。
OCSP流程由客戶端向OCSP響應程序發起請求啟動，該響應程序可由對應CA直接運營。收到OCSP請求後，響應程序會立即核查目標證書的狀態。返回的響應會直接標明該證書仍然有效或是已被吊銷。客戶端可根據該響應執行對應操作，也可繼續查詢CRL獲取更多詳細信息。
瀏覽器對已吊銷證書的處理方式
Web瀏覽器遇到SSL/TLS 證書時，會執行多項核查操作以確認其有效性，包括驗證證書上的數碼簽名、確認證書處於有效期內，以及檢查證書的吊銷狀態。
執行該項核查時，瀏覽器會使用CRL或OCSP機制。如果這些機制返回結果表明證書未被吊銷，則允許繼續建立連接；但如果結果顯示證書已被吊銷，瀏覽器會顯示警告信息以保護可能面臨風險的用戶。在某些場景下，這類連接會被完全阻斷。即使用戶可選擇繼續訪問，也將面臨嚴重的安全風險。
證書吊銷後重新簽發SSL/TLS 證書
吊銷只是完整證書生命週期中的一個環節，完整生命週期還包含其他多個階段：簽發、使用與監控、到期與續期。當確需執行吊銷時，必須制定相應方案，確保仍有有效的數碼證書提供充分的安全防護。這一工作通常通過重新簽發完成：向CA提交申請，由CA對申請新證書的個人或實體身份進行驗證。
該流程中，可能需要進一步執行狀態核查，確保被劫持的證書已被妥善吊銷。此外，CA可能會開展全面審核，查明上一次證書吊銷的具體情況，這對保障重簽請求的合法性十分重要。與「常規」續期流程一樣，驗證工作至關重要，包括對域名所有權及其他信息的審核。完成驗證後，即可放心地簽發、安裝並配置新證書。
實用要點
證書吊銷在提升數碼安全水平方面發揮着關鍵作用。它只是Sectigo Certificate Manager (SCM).
是我們提供的全套完善數碼證書解決方案當中的組成部分，目標是實現證書生命週期管理各個環節的流程化管理，從而提升效率以及及安全性。我們同時提供高可信度的SSL/TLS 證書，這類產品對身份認證及建立安全連線至關重要。
探索這些適用場景，或啟用SCM 免費試用，體驗自動化證書生命週期管理的強大功能。