4、CRL 分发点（CDP）扩展：如何定位 CRL 下载地址

拿到一张证书，怎么知道它对应的 CRL 该去哪下载？答案就在证书的 CRL 分发点（CDP）扩展里。这个扩展就像是一张“导航地图”，告诉客户端去哪里取吊销列表。没它，CRL 验证就无从谈起。

我个人习惯，拿到证书先看 CDP。不是别的，因为绝大部分 CRL 下载失败，根源都是 CDP 写错了或者指向了不可达地址。你想想看，地址都找不到，后面所有步骤全是白费。

CDP 扩展长什么样？

CDP 是 X.509 v3 扩展中的一个标准项。它的结构其实挺简单——一个或多个分发点（Distribution Point），每个分发点里包含一组 URI 地址。证书里可以写多个地址，客户端按顺序尝试，直到拿到 CRL 为止。

用 OpenSSL 看 CDP 最方便。我常用的命令是：

openssl x509 -in certificate.pem -text -noout | grep -A 6 'X509v3 CRL Distribution Points'

输出大概长这样：

X509v3 CRL Distribution Points:

    Full Name:
      URI:http://crl.example.com/ca.crl
      URI:ldap://ldap.example.com/cn=CA,dc=example,dc=com?certificateRevocationList;binary
      URI:file:///var/crl/ca.crl

嗯，这里要注意。每个 URI 前面都有 URI: 前缀，协议可以是 http://、ldap://、file:// 甚至 ftp://。但现实中，HTTP 占多数，LDAP 偶尔见，文件路径基本只在内部用。

为什么要多个地址？

不是闲得慌。多写几个地址，是为了容错。我曾经遇到过，CA 给了一个 HTTP 地址，但那个 CDN 节点挂了，幸好证书里还配了一个 LDAP 地址，从域控里硬拉了下来。如果只写一个地址，那次巡检就要报异常了。

证书签发者会按优先级排地址顺序。大部分 CA 会把 HTTP 放在第一个，因为通用性好、防火墙兼容性强。LDAP 虽然有目录同步优势，但端口 389/636 在企业内网经常被自定义 ACL 拦截，外网更不用说了。

用工具解析 CDP——不只是 OpenSSL

OpenSSL 最基础，但信息展示不够结构化。我习惯在诊断时用 certutil（Windows）或 keytool（Java）做交叉验证。比如：

用 certutil 有个好处——它会自动尝试下载 CRL，并告诉你哪个地址成功、哪个失败。我曾经在生产环境抓到一个诡异问题：OpenSSL 显示 CDP 是正常的，但 certutil 实际下载时报 404。

常见 CDP 格式与坑点

地址格式写错了，比地址不可达更隐蔽。我简单列一下我会特别注意的几种：

• HTTP URL —— 最常见。注意路径是否包含 . 或 .crl 后缀？有些 CA 用 application/pkix-crl 响应，但 URL 写的是 .der，客户端照样能处理。但如果你看到 URL 结尾是 / 没有文件名，那基本是错的。
• LDAP URL —— 结构复杂。标准格式是 ldap://host:port/baseDN?attributeName?scope?filter。我见过最坑的写法是：属性名写成了 certificateRevocationList;binary 但忘了写分号，导致 LDAP 返回不了二进制内容。
• file:// URI —— 只在本地验证有用。证书发布到客户端后，客户端根本访问不到 CA 本地的文件路径。要是 CDP 里只有 file://，CRL 分布必失败。
• AIA 扩展混用 —— 有人会把 CRL 地址放在 Authority Information Access 里，但 CRL 应该用 CDP。这不是标准做法，但有些 CA 自作聪明，你查时必须两者都看。