为什么不对 OCSP 错误消息进行签名？
Why aren't OCSP error messages signed?
我正在尝试了解 OCSP。我几乎阅读了整个 RFC，但我不明白为什么错误消息没有签名。问题很明显：如果未签署错误消息，MiTM 可以简单地拒绝服务回复客户端的请求，并返回未授权、internalError [...]
等错误
从 RFC 我可以读到：
In case of errors, the OCSP responder may return an error message.
These messages are not signed.
不明白为什么。
有标志不是最安全吗？也许我忽略了那里的重点，但我认为它确实更安全。
OCSP 客户端有兴趣验证证书吊销状态。 return 状态已签名的消息以避免流氓 OCSP 服务器对 return 虚假响应（例如 return 状态 "good" 实际状态为 "revoked" ).
当 OCSP 服务器指示证书吊销状态未定义的错误时。 OCSP 客户端应考虑拒绝此类证书或尝试通过 CRL 或其他 OCSP 服务器对其进行验证。 （可选）这可以在 OCSP 客户端上配置以让管理员决定。携带状态 "unknown".
的签名 OCSP 响应也是如此
我正在尝试了解 OCSP。我几乎阅读了整个 RFC，但我不明白为什么错误消息没有签名。问题很明显：如果未签署错误消息，MiTM 可以简单地拒绝服务回复客户端的请求，并返回未授权、internalError [...]
等错误从 RFC 我可以读到：
In case of errors, the OCSP responder may return an error message. These messages are not signed.
不明白为什么。 有标志不是最安全吗？也许我忽略了那里的重点，但我认为它确实更安全。
OCSP 客户端有兴趣验证证书吊销状态。 return 状态已签名的消息以避免流氓 OCSP 服务器对 return 虚假响应（例如 return 状态 "good" 实际状态为 "revoked" ).
当 OCSP 服务器指示证书吊销状态未定义的错误时。 OCSP 客户端应考虑拒绝此类证书或尝试通过 CRL 或其他 OCSP 服务器对其进行验证。 （可选）这可以在 OCSP 客户端上配置以让管理员决定。携带状态 "unknown".
的签名 OCSP 响应也是如此