OCSP
用于在线查询证书吊销状态的协议，客户端在OCSP失败时可能采取软失败策略继续连接，形成安全窗口
时间轴 (近 90 天)
PGP通过吊销证书实现密钥吊销，需要私钥持有者（或预先指定的吊销者）主动发布；S/MIME依赖CA通过CRL或OCSP发布吊销状态。
现代浏览器和操作系统具备证书撤销机制（如CRL、OCSP），能够较快隔离问题证书。
私有CA的主要成本在于CA密钥保护、证书吊销（CRL/OCSP）和高可用运维，若管理不当，私钥泄露将导致整个内部信任体系失效。
通过 http.sslCAInfo 指定的自定义证书包需要自行跟踪证书撤销列表（CRL）或 OCSP 状态，且配置只对当前仓库或全局 Git 生效，不影响其他工具。
应对中间证书私钥泄露，标准做法是 CA 将泄露证书加入吊销列表（CRL）或通过 OCSP 标记为吊销，依赖方更新信任库。
CA退出业务时，若CRL/OCSP服务提前下线，客户端将无法确认证书状态，部分严格模式的浏览器或系统可能直接报错。
证书吊销的常见机制包括证书吊销列表（CRL）和在线证书状态协议（OCSP）；浏览器通常内置吊销检查或快速更新根证书列表，但系统级信任库更新频率较低，且许多命令行工具默认不执行实时吊销查询
证书吊销列表（CRL）更新间隔可能长达数小时至数天，OCSP 响应可能被缓存，且部分客户端采用「软失败」策略，导致攻击窗口可能持续数小时甚至数天。
商业 CA 体系依赖 CRL 和 OCSP 来传播吊销信息，但吊销传播存在延迟，部分客户端对 OCSP 检查不严格，且拦截证书被吊销会影响所有依赖该中间 CA 的流量。
证书吊销列表（CRL）和OCSP响应存在传播延迟，部分客户端还会在OCSP失败时采取“软失败”策略继续连接。
还有 1 条时间轴事件
全部知识事实 (11)
PGP通过吊销证书实现密钥吊销，需要私钥持有者（或预先指定的吊销者）主动发布；S/MIME依赖CA通过CRL或OCSP发布吊销状态。
50%待验证现代浏览器和操作系统具备证书撤销机制（如CRL、OCSP），能够较快隔离问题证书。
50%待验证私有CA的主要成本在于CA密钥保护、证书吊销（CRL/OCSP）和高可用运维，若管理不当，私钥泄露将导致整个内部信任体系失效。
50%待验证通过 http.sslCAInfo 指定的自定义证书包需要自行跟踪证书撤销列表（CRL）或 OCSP 状态，且配置只对当前仓库或全局 Git 生效，不影响其他工具。
50%待验证应对中间证书私钥泄露，标准做法是 CA 将泄露证书加入吊销列表（CRL）或通过 OCSP 标记为吊销，依赖方更新信任库。
50%待验证CA退出业务时，若CRL/OCSP服务提前下线，客户端将无法确认证书状态，部分严格模式的浏览器或系统可能直接报错。
50%待验证证书吊销的常见机制包括证书吊销列表（CRL）和在线证书状态协议（OCSP）；浏览器通常内置吊销检查或快速更新根证书列表，但系统级信任库更新频率较低，且许多命令行工具默认不执行实时吊销查询
50%待验证证书吊销列表（CRL）更新间隔可能长达数小时至数天，OCSP 响应可能被缓存，且部分客户端采用「软失败」策略，导致攻击窗口可能持续数小时甚至数天。
50%待验证商业 CA 体系依赖 CRL 和 OCSP 来传播吊销信息，但吊销传播存在延迟，部分客户端对 OCSP 检查不严格，且拦截证书被吊销会影响所有依赖该中间 CA 的流量。
50%待验证证书吊销列表（CRL）和OCSP响应存在传播延迟，部分客户端还会在OCSP失败时采取“软失败”策略继续连接。
50%待验证行业缓解措施包括证书透明度（CT）、证书吊销机制（CRL/OCSP）、HSTS与证书固定（Certificate Pinning）
50%