OCSPのgood・revoked・unknown・unavailableの意味と対処
OCSPの結果だけでは、証明書を安全に利用できるかの判断は完結しません。対象証明書と直接の発行者証明書を用意して状態を照会し、有効期限や信頼性の確認と組み合わせて読み解きます。
OCSPチェッカーを開く対象証明書と直接の発行者を入力する
サーバー証明書は完全なPEMブロックとして入力します。発行者欄にはその証明書を直接発行したCAの証明書を入れます。通常はルートではなく中間CAで、CAの配布元や配置用バンドルから入手できます。チェーン欄で代用する場合は直接の発行者を先頭に置きます。このツールが使うのは先頭の1件で、発行者欄が空の場合だけです。
ステータスから分かる範囲を読む
goodはレスポンダの肯定的な状態ですが、信頼性・有効期間・ホスト名まで正しいことを証明しません。revokedは失効が報告された状態なので、継続利用の前に発行CAへ状況を照合してください。unknownはレスポンダが状態を確定できない場合です。goodやrevokedと決めつけず、対象と発行者の組み合わせを見直します。
No OCSP URL in certificateと表示された場合
証明書にOCSPレスポンダのURLがなければunavailableになります。照会自体が行われていないので、失効の判定ではありません。CAが案内する失効確認方法やCRL配信URLを調べる手がかりにしてください。このツールのCRL機能はURLの表示のみで、失効リストを取得してシリアル番号を照合する機能ではありません。
発行者不足や通信エラーが出た場合
発行者が必要というメッセージは、対象証明書を読み取れたものの、照会用の直接の発行者が不足した状態です。両方を入力しても失敗する場合はレスポンス欄の接続エラーやレスポンダのエラーを読み、CAの稼働状況と証明書の組み合わせを確認してから再試行します。通信失敗から失効状態を判断することはできません。
This UpdateとNext Updateを読む
This Updateは報告された状態が正しいとされた時点、Next Updateは新しい情報が予定される時点です。証明書そのものの有効期限とは異なります。Next Updateがないことだけで失効とは判断できません。応答の鮮度と証明書の有効期間はそれぞれ確認します。
運用判断には署名・信頼性の検証も行う
照会はサーバーから証明書に記載されたOCSP URLへ送られます。秘密鍵は不要です。このチェッカーはOCSP応答署名と証明書の信頼チェーンを検証しません。実際の配置や接続の判断では、署名・信頼性・応答の鮮度・ホスト名を検証するクライアントを使い、CAの案内も確認してください。