何为证书吊销列表CRL?

http://blog.163.com/liu_sheng_han/blog/static/190591372201202710340212/

证书具有一个指定的寿命，但 CA 可通过称为证书吊销的过程来缩短这一寿命。CA 发布一个证书吊销列表 (CRL)，列出被认为不能再使用的证书的序列号。CRL 指定的寿命通常比证书指定的寿命短得多。CA 也可以在 CRL 中加入证书被吊销的理由。它还可以加入被认为这种状态改变所适用的起始日期。

当我们在使用HTTPS（SSL）访问WEB站点时，浏览器会从服务器上下载其证书，并根据证书的“CRL分发点”指定的URL下载CRL（证书吊销列表），检查当前的证书是否在列表内。CRL包含有“下一次的更新”的日期，在该日期到来之前，Windows会直接使用已被缓存起来的CRL，等到下一次的更新日期到来之后才会再次下载CRL。证书可以通过IE浏览器的工具——Internet选项——内容——证书来查看，也可以单击“开始”——“运行”，输入“certmgr.msc“来打开。

 
    如果CRL不能被正常下载时，我们访问HTTPS站点时，就会提示不能检查服务器证书的吊销信息。如何解决这个问题呢？
方法有两种，手工下载CRL的和屏蔽CRL检查。

一、手工下载CRL
当弹出“该站点安全证书的吊销信息不可用，是否继续? ”的对话框时，点击“查看证书”，切换到“详细信息”TAB页，找到其“CRL分发点”的URL（有些证书也不一定有，可能是这些证书不需要检查CRL吧），复制下来，用迅雷等下载工具或找一台可以正常访问该URL的机器将该文件下载后并复制过来。

点击鼠标右键，选择“安装”，按照向导完成安装。此时再重浏览该站点就不会再收到“不能检查服务器证书的吊销信息”了。当然，当超过了“下一次的更新”日期，运气不佳的你可能又需要重做一次。

 

二、屏蔽CRL检查（视乎可以一劳永逸，却留有隐患）
打开Internet Explorer浏览器——工具——Internet 选项——高级，依次做如下操作：

 

 把其中“检查发行商的证书是否吊销”、“检查服务器证书吊销”的勾选去掉，也可以解决弹出安全证书的吊销信息不可用问题，但是这样证书的权威性和可信度就将低了。