Kiểm thử OCSP/CRL: certificate revocation và fail-open/fail-close

Client có từ chối chứng thư revoked không; dùng OCSP, CRL hay dữ liệu stapled; phản ứng thế nào với status unknown, response hết hạn, chữ ký sai hoặc responder timeout? Khi endpoint revocation không khả dụng, chính sách là fail-close, fail-open hay dùng cache còn hiệu lực?

Không gộp ba kiểm tra: chain/trust, validity period và revocation. Một chứng thư hết hạn bị từ chối không chứng minh revocation hoạt động; một response OCSP good cũng chỉ nói về serial và thời điểm cụ thể trong response.

Dùng PKI lab riêng gồm root, intermediate, end-entity certificate, OCSP responder và CRL distribution point. Tạo ít nhất ba serial: good, revoked và unknown; thêm response hết nextUpdate. Không sử dụng private key hoặc chứng thư production.

Đặt client qua DNS/proxy/firewall có thể chặn riêng OCSP và CRL; capture phía client và responder. Nếu thử OCSP stapling, đặt TLS server có thể bật/tắt staple và thay response có kiểm soát. Thu log ứng dụng, TLS handshake, HTTP tới responder và policy hiệu lực.

Alt: “Topology kiểm thử certificate revocation qua OCSP, CRL và stapling”.

Ghi OS/runtime/browser/library và phiên bản; trust store; revocation flag; chain depth; AIA/CDP; OCSP URL; CRL number/delta CRL; thisUpdate/nextUpdate; clock; proxy; DNS; TLS version và stapling policy. Cùng một ứng dụng trên OS khác có thể dùng chain engine khác.

Khóa cache state trước mỗi nhóm test. “Lần đầu” và “lần sau” có thể khác do OCSP/CRL cache. Đồng bộ thời gian nhưng không chỉnh clock production; dùng VM/container lab hoặc artifact có thời hạn thiết kế sẵn.

KPI · Ý nghĩa · Bằng chứng Validation outcome · accept/reject/error · App log và exit code Revocation source · OCSP/CRL/staple/cache · Capture, debug log Validation latency · Chi phí kiểm tra · Trace p50/p95/p99 Freshness · thisUpdate/nextUpdate · Response/CRL đã ký Outage behavior · fail-open/fail-close · Policy + quan sát thực tế Responder load · RPS, error, queue · Server telemetry

Pass/fail phải theo policy của workload. Một browser công cộng và một mTLS control-plane có thể có yêu cầu availability/security khác nhau. Ghi rõ revoked, unknown, timeout và parse/signature error thay vì chỉ “TLS failed”.

Tình huống · Kỳ vọng cần chốt · Rủi ro Serial good, response fresh · Cho phép · Latency/responder dependency Serial revoked · Từ chối · Client bỏ qua revocation Serial unknown · Theo policy · Nhầm unknown với good OCSP timeout · Fail-open/close đã duyệt · Outage hoặc bypass CRL quá hạn · Refresh/từ chối theo policy · Cache stale Staple thiếu · Theo Must-Staple/client policy · Hành vi client khác nhau Clock lệch · Phát hiện lỗi thời gian · False reject/accept Proxy chặn HTTP · Quan sát được · Revocation “im lặng” không chạy

Ma trận phải chạy trên từng loại client quan trọng. Không lấy hành vi Chrome để đại diện cho agent Java, load balancer, VPN concentrator hoặc thiết bị OT.

Pha functional xác minh chain tốt, sai hostname, hết hạn, revoked và unknown. Pha source kiểm tra OCSP trực tiếp, CRL và stapling. Pha cache chạy lần đầu/sau khi cache, trước/sau nextUpdate. Pha outage chặn DNS, TCP, trả timeout/5xx và response sai chữ ký.

Pha load tạo nhiều validation đồng thời với session reuse bật/tắt; đo responder, client pool và latency ứng dụng. Pha recovery khôi phục responder/CRL, kiểm tra cache refresh và thời gian client trở về chính sách đúng.

Alt: “Ma trận pass fail certificate revocation cho nhiều loại client”.

Fail-open tăng availability nhưng có thể chấp nhận chứng thư không xác minh được; fail-close giảm khả năng bypass nhưng biến responder thành dependency dịch vụ. Đây là lựa chọn policy, không phải nhãn tốt/xấu tuyệt đối. Test phải ghi đúng điều gì xảy ra thay vì suy từ cấu hình.

OCSP stapling có thể giảm truy vấn trực tiếp và độ trễ, nhưng cần kiểm tra freshness, renewal và hành vi khi staple thiếu/hết hạn. CRL cache giảm tải nhưng kéo theo cửa sổ dữ liệu. Đặt monitor cho tuổi response/CRL và tỷ lệ validation error, không chỉ uptime endpoint.

• [ ] Tạo CA và serial lab; không dùng secret production.
• [ ] Ghi client/runtime/trust store và policy revocation.
• [ ] Đồng bộ clock; lưu sai số.
• [ ] Xóa/ghi nhận cache trước từng pha.
• [ ] Chạy good, revoked, unknown và expired response.
• [ ] Chặn riêng DNS/TCP/HTTP cho OCSP và CRL.
• [ ] Thu capture, app log, response/CRL và metrics.
• [ ] Kiểm tra stapling có/không/hết hạn.
• [ ] Khôi phục dịch vụ; xác minh cache refresh.
• [ ] Hủy artifact lab và private key theo quy trình.

RFC định nghĩa định dạng và semantics, nhưng hành vi client còn phụ thuộc implementation và policy. Kết quả của một runtime/version không được suy rộng sang client khác. Không kết luận “an toàn” chỉ vì một serial revoked bị chặn khi chưa thử outage và cache.

Kết quả cũng không thay thế quản trị vòng đời certificate, bảo vệ private key hay inventory. Revocation là một lớp kiểm soát; short-lived certificate, automation và segmentation có vai trò riêng và cần test độc lập.

• OCSP: Giao thức truy vấn trạng thái một chứng thư.
• CRL: Danh sách chứng thư bị thu hồi do CA phát hành.
• OCSP stapling: Server gửi kèm OCSP response trong handshake.
• Fail-open/fail-close: Cho phép/từ chối khi không kiểm tra được trạng thái.
• thisUpdate/nextUpdate: Mốc phát hành và giới hạn freshness của dữ liệu.
• AIA/CDP: Vị trí truy cập thông tin CA/OCSP và CRL.
• Unknown: Responder không biết trạng thái; không đồng nghĩa good.