어쨌건간에 흘러가는 者

OCSP의 장점
PKI를 배포할 때 OCSP를 이용한 인증서 확인(validation)은 CRL을 이용하는 것에 비해 다음과 같은 장점을 지닌다.
1. OCSP는 인증서의 폐지 상태에 대해 좀더 최신의 정보를 제공한다.
2. OCSP을 사용함으로써 클라이언트는 (때로는 매우 큰 크기의) CRL를 받을 필요가 없다.
3. OCSP를 사용함으로써 클라이언트는 CRL를 파싱할 필요가 없기에 client 측의 복잡성을 줄인다.
4. OCSP는 responder 간의 OCSP 요청 신뢰 체인(chain)을 지원한다. 이를 통해 클라이언트는 다른 responder와의 통신이 가능하므로 클라이언트측의 복잡성을 줄인다.

OCSP의 특징
1. OCSP responder의 응답 메시지는 OCSP responder의 소유자의 신원으로 서명되어 있다.
2. OCSP responder는 해당 인증서에 대해 'good: 유효', 'revoked: 폐지', 'unknown: 알려지지 않음'으로 응답한다.
3. OCSP는 replay attack에 강하다. 응답 메시지에 반드시 포함되어야 하는 nonce를 OCSP 요청 메시지에 넣음으로 replay attack을 방지한다.

* nonce : security engineering에서 nonce란 단 한번 사용되는 숫자 혹은 bit 문자열이다. nonce는 replay attack을 통해 오래된 통신이 재사용되는 것을 방지하기 위해 쓰인다.

OCSP를 통한 PKI상 통신 절차 : 일반적인 PKI 기반 통신 절차와 대동소이.
- Alice는 Bob과 통신하고자 함.
1. Alice는 Bob에게 자신의 공용키 인증서를 보낸다.
2. Bob은 Alice의 공용키로 이루어진 fingerprint가 담긴 OCSP 요청 메시지를 만들어 OCSP responder로 보낸다.
3. OCSP responder는 Bob이 만든 fingerprint를 이용하여 Alice의 인증서가 폐지 목록에 있는지를 찾는다.
4. OCSP responder는 Alice의 인증서가 유효함을 확인하고 OCSP 응답 메시지를 서명하여 Bob에게 보낸다.
5. Bob은 서명된 응답 메시지를 (OCSP responder의 공개키를 통해) 검증하고 응답 메시지가 최근에 만들어진 것임을 확인한다.
6. Bob은 Alice와 정상적인 트랜잭션을 이룬다.