3、证书吊销机制（CRL）：CRL工作原理、CRL格式与字段解析、CRL分发点（CDP）配置

证书吊销，说白了就是给一张证书判死刑。你想想看，设备出厂时带着合法证书，但后来私钥泄露了、设备被篡改了、或者设备要退役了，这时候如果还信任它，整个系统就危险了。CRL（Certificate Revocation List）就是PKI体系里最经典的吊销手段。

我最早接触CRL是在一个车联网项目里。当时客户问：“证书过期了自然失效，为什么还要吊销？”嗯，这个问题问得好。证书过期是自然死亡，吊销是提前执行。私钥泄露这种事可不会等到证书过期才发生。

3.1 CRL工作原理

CRL的工作原理其实不复杂。CA（证书颁发机构）定期发布一个黑名单，里面列着所有被吊销的证书序列号。验证方拿到一张证书后，先去查这个名单。如果序列号在名单里，证书就是废纸一张。

这里有个关键点：CRL不是实时更新的。CA可能每小时、每天甚至每周才发布一次新CRL。所以从证书被吊销到CRL生效，中间有个时间窗口。我在项目中遇到过，攻击者就利用这个窗口期搞事情。怎么解决？后面会讲到OCSP，那是另一种方案。

3.2 CRL格式与字段解析

CRL长什么样？它用的是X.509标准，和证书本身是同一套语法。我习惯用ASN.1来描述它的结构。别被ASN.1吓到，其实核心字段就那么几个。

revokedCertificates这个字段最核心。每条记录包含：

• certificateSerialNumber：被吊销证书的序列号
• revocationDate：吊销时间
• crlEntryExtensions：可选的吊销原因（比如keyCompromise、cACompromise、affiliationChanged等）

# 下载CRL
wget http://example.com/crl/root.crl

# 查看CRL内容
openssl crl -in root.crl -text -noout

# 查看CRL的DER格式
openssl crl -in root.crl -inform DER -text -noout

我记得有一次排查问题，发现某个设备一直拒绝合法证书。查了半天，原来是CRL的nextUpdate字段写错了，导致验证方认为CRL已过期，直接拒绝所有证书。这种低级错误，配置时一定要仔细。

3.3 CRL分发点（CDP）配置

CDP（CRL Distribution Point）是证书里的一个扩展字段，告诉验证方去哪里下载CRL。没有CDP，验证方就不知道上哪找黑名单。

CDP在证书里的样子是这样的：

X509v3 CRL Distribution Points:
    Full Name:
      URI:http://crl.example.com/root.crl
      URI:ldap://ldap.example.com/cn=RootCA,o=Example,c=US?certificateRevocationList

配置CDP时，我建议注意以下几点：

配置CDP的OpenSSL示例（在CA配置文件中）：

[ crl_ext ]
authorityKeyIdentifier=keyid:always,issuer:always
crlDistributionPoints=@crl_section

[ crl_section ]
URI.0 = http://crl.example.com/root.crl
URI.1 = ldap://ldap.example.com/cn=RootCA,o=Example,c=US?certificateRevocationList

生成CRL的命令：

# 生成CRL
openssl ca -gencrl -out root.crl -config openssl.cnf

# 查看CRL的CDP信息
openssl crl -in root.crl -text -noout | grep -A 5 "CRL Distribution"