CRL，全称为证书吊销列表（Certificate Revocation List），是由证书颁发机构（CA）维护的一份已吊销数字证书的记录清单。当SSL/TLS证书因私钥泄露、错误签发或域名所有权变更等原因不再可信时，CA会将其加入CRL中，以告知客户端和浏览器该证书已失效。

CRL包含哪些信息？

根据X.509标准定义，CRL通常包括以下关键字段：

• 颁发者（Issuer）：发布该CRL的CA名称
• 被吊销证书序列号：被吊销证书在CA系统中的唯一标识符
• 吊销时间：证书被正式吊销的时间戳
• 吊销原因（可选）：如私钥泄露、证书持有者请求、CA密钥变更等
• 生效日期与下次更新时间：CRL的有效周期
• 签名算法：用于签署CRL的加密算法

CRL的工作原理

1. 客户端（如浏览器）向服务器发起HTTPS连接请求；
2. 服务器返回其SSL证书；
3. 客户端从CA获取最新的CRL文件（通过CRL分发点URL下载）；
4. 客户端检查服务器证书的序列号是否出现在CRL中；
5. 若存在，则拒绝连接；否则建立安全通信。

CRL的主要作用

• 标记已失效证书，防止攻击者利用泄露证书进行中间人攻击；
• 维护公钥基础设施（PKI）的信任链完整性；
• 降低因证书受损导致的数据泄露风险；
• 为OCSP（在线证书状态协议）提供基础支持。

如何减少证书被加入CRL的风险？

证书被吊销的主要原因包括：私钥泄露、误颁发、域名变更、CA安全事件等。可通过以下策略降低风险：

1. 采用短期证书：使用有效期短的证书（如Let's Encrypt的90天或更短），即使私钥泄露，其利用窗口也极小；
2. 强化私钥保护：使用HSM/TPM硬件模块存储私钥，限制访问权限；
3. 实施自动化管理：借助ACME协议工具（如Certbot、acme.sh）实现自动续签，避免人为失误；
4. 选择高信誉CA：优先选用通过WebTrust审计的CA机构，确保其操作合规；
5. 定期安全审计：对服务器与证书管理系统进行漏洞扫描与日志审查。

相关推荐产品

参考资料

1. 什么是CRL？CRL有什么作用？
2. 什么是OCSP Stapling？它如何提升HTTPS性能？
3. Let's Encrypt即将推出有效期为六天的短期证书及对IP地址支持的ssl证书
4. SSL证书签章服务介绍
5. SSL证书选购指南

OCSP（Online Certificate Status Protocol，在线证书状态协议）是一种用于实时验证数字证书是否被撤销的网络安全协议。它在 SSL/TLS 加密通信中扮演关键角色，帮助客户端（如浏览器）确认服务器证书的有效性，防止用户访问使用已被吊销证书的网站。

传统CRL与OCSP的对比

在过去，客户端依赖 Certificate Revocation List（CRL，证书吊销列表） 来检查证书状态。但 CRL 存在明显缺陷：

• 体积庞大：包含所有被吊销证书的序列号，下载耗时。
• 更新延迟：通常每隔数小时或数天更新一次，无法反映即时状态。

相比之下，OCSP 提供了更高效、实时的查询机制。

OCSP 工作原理

1. 证书嵌入 OCSP 地址：SSL/TLS 证书中包含一个指向 CA 的 OCSP Responder 的 URL。
2. 客户端发起查询：浏览器在建立安全连接时，向该 URL 发送请求，附带待验证证书的序列号。
3. CA 返回响应：OCSP 服务器返回签名的响应，状态包括：
   • Good：证书有效
   • Revoked：证书已撤销
   • Unknown：未知状态
4. 客户端决策：根据响应结果决定是否继续建立安全连接。

国内OCSP的优势

对于部署在中国境内的网站，使用由国内CA提供的OCSP服务具有显著优势：

OCSP Stapling（OCSP装订）：性能优化关键技术

为解决传统OCSP带来的客户端隐私泄露和性能损耗问题，OCSP Stapling 技术被广泛采用。

工作流程

1. 服务器主动查询：Web服务器定期向CA获取自身证书的OCSP响应并缓存。
2. 握手时“装订”响应：在TLS握手过程中，服务器将缓存的OCSP响应一并发送给客户端。
3. 客户端直接验证：客户端无需再连接CA的OCSP服务器，直接验证响应签名即可。

核心优势

• 提升访问速度：减少一次往返网络请求，尤其利于国际用户访问国内站点。
• 保护用户隐私：CA无法得知具体哪些用户访问了该网站。
• 增强可靠性：即使CA的OCSP服务器短暂不可用，网站仍可正常完成验证。

主流Web服务器（如Nginx、Apache）均支持配置OCSP Stapling，建议网站管理员启用此功能以优化HTTPS性能。

相关推荐产品

以下是国内支持OCSP服务且具备良好本地化体验的SSL证书产品，适用于不同场景需求：

参考资料

1. 什么是OCSP、国内OCSP有什么好处？
2. 锐安信（sslTrus）SSL证书介绍
3. SSL证书验证指南【域控制验证(DCV)】

在 Apache Tomcat 服务器上配置 SSL/TLS 证书是实现 HTTPS 加密通信的关键步骤。以下是针对 Tomcat 环境的通用配置说明和常见问题解决方案。

一、配置文件定位与修改

配置前，需找到 Tomcat 的主配置文件 server.xml，通常位于 /tomcat/conf/ 目录下。若路径不确定，可在 Linux 系统中使用命令：

find / -name server.xml

在 server.xml 中查找被注释的 HTTPS 连接器配置段：

<!--
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NiProtocol"
maxThreads="150" SSLEnabled="true">
<SSLHostConfig>
<Certificate certificateFile="conf/domain.jks"
type="RSA" />
</SSLHostConfig>
</Connector>
-->

移除注释标记，并根据实际环境修改为以下内容：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true">
<SSLHostConfig>
<Certificate certificateKeystoreFile="\Tomcat 9.0\conf\domain.jks"
certificateKeyAlias="domain.com"
certificateKeystorePassword="123456"
type="RSA" />
</SSLHostConfig>
</Connector>

• port="443"：HTTPS 默认端口，可按需调整（如 8443）
• certificateKeystoreFile：指向 JKS 格式证书文件的完整路径
• certificateKeyAlias：密钥库中的别名，导入时指定
• certificateKeystorePassword：JKS 文件的访问密码

保存后，重启 Tomcat 服务以应用更改。

二、常见问题：JKS 和 password.txt 文件为空

部分用户在申请免费 SSL 证书后，发现下载包中的 .jks 文件或 password.txt 内容为空。这是因为大多数免费证书服务仅提供 PEM 或 CRT 格式的证书文件，不直接生成 Java KeyStore (JKS) 文件。

解决方法如下：

1. 确认已有文件：确保您已获得以下两个文件：
   • 服务器证书（如 certificate.crt）
   • 私钥文件（如 private.key）
2. 使用 OpenSSL 转换为 PKCS12 格式：

openssl pkcs12 -export -in certificate.crt -inkey private.key -out temp.p12 -name tomcat -passout pass:changeit

3. 使用 keytool 导入为 JKS 格式：

keytool -importkeystore -srckeystore temp.p12 -srcstoretype PKCS12 -srcstorepass changeit -destkeystore server.jks -deststorepass changeit -alias tomcat

4. 创建密码文件：将密码写入 keystorePass.txt，供 Tomcat 读取（注意权限安全）。

三、推荐 SSL 证书产品

为满足不同业务场景需求，以下是适用于 Tomcat 部署的主流 SSL 证书推荐：

参考资料

• Tomcat9安装SSL证书方法
• Apache配置SSL证书方法
• 免费SSL证书问题：Tomcat目录jks及password.txt内容为空怎么办？

在当前网络安全标准日益提升的背景下，为网站部署 DV SSL证书 已成为基本要求。对于个人博客、测试环境或小型企业站点而言，选择一款价格合理且可靠的SSL证书至关重要。

以下是目前市场上性价比高、广受认可的几款低价DV SSL证书产品，均来自主流CA机构，并通过topssl.cn平台提供服务，参考价格基于知识库信息整理（截至系统时间：2025年12月5日）：

高性价比DV SSL证书推荐

为什么这些SSL证书便宜？

• 自动化验证流程：DV证书仅需验证域名所有权，无需人工审核企业资料，大幅降低运营成本。
• 规模化发行：如Sectigo、Certum等大型CA机构通过自动化系统批量签发证书，实现低成本运作。
• 市场竞争驱动：随着Let's Encrypt等免费证书普及，商业CA也推出低价产品以满足不同用户需求。

注意事项

虽然低价SSL证书能满足基础加密需求，但在选择时仍需注意：

• 确保CA机构符合CA/B论坛规范，证书预置在主流浏览器根证书列表中。
• 检查是否支持TLS 1.2及以上协议，保障现代加密安全性。
• 关注续费价格，部分产品首年优惠后次年价格可能上调。
• 优先选择支持多种域名验证方式（DNS、文件、邮箱）的产品，便于部署。

相关知识库来源

1. 特别便宜的ssl证书哪里可以买到？
2. Certum DV SSL证书产品页
3. 锐安信DV SSL证书产品页
4. PositiveSSL DV SSL证书产品页
5. PositiveSSL OV SSL证书产品页

以上推荐覆盖低、中、高不同预算层级，用户可根据实际需求进行选择。建议优先考虑具备良好技术支持和稳定签发记录的服务商平台。