Spärrkontroller i Common

...

Spärrkontrollen i Common använder sig av både CRL:er (Certificate Revocation List) och OCSP (Online Certificate Status Protocol) för att avgöra om ett certifikat ska förklaras som giltigt, protokollen används i samspel med varandra för att ge ett stabilt system för spärrkontroller. För att avgöra statusen på ett certifikat används antingen CRL eller OCSP som primär källa, det andra protokollet används som fallback och påkallas ifall den primära källan inte ger ett tillförlitligt svar. Det protokoll som används vid fallback bestäms av den specifika applikationens konfiguration. Om varken CRL eller OCSP kan ge ett tillförlitligt svar på revokeringsstatus blir resultatet en UNDETERMINED_REVOCATION_STATUS.

...

Spärrkontroller med CRL görs enbart med uppslag mot en Redis-cache där spärrlistorna spärrlistor lagras. Cachen fylls i sin tur på av ett jobb bakgrundsjobb som med hämtar spärrlistor utifrån ett konfigurerat intervall hämtar listorna som innehåller informationen över vilka certifikat som är spärrade. Vilka listor det är som ska . De listor som hämtas av jobbet avgörs av utfärdarna utifrån de certifikatsutfärdare som är inlästa i den aktuella applikationen och samt av en samling konfigurerbar lista URL:er ar som är konfigurerade för att också hämtas. Kriteriet för att spärrlistan/spärrlistor skall bli inlästa i cachen är att deras signaturer kan verifieras av någon betrodd certifikatsutfärdare.

När giltigheten för ett certifikat kontrolleras konsulteras cachen för matchande X509CRL-objekt från de tidigare hämtade spärrlistorna och matas sedan in i , datat tillhandahålles till en instans av CertPathValidator varifrån det sedan matas ut en som utvärderar certifikatet och returnerar revokeringsstatus.

I fallen då ingen revokeringsstatus kan erhållas där revokeringsstatus inte går att avgöra med hjälp av CRL:er går applikationen över till OCSP för att försöka få en revokeringsstatus därigenom.

...