Door Anoniem: Kortom, een mooie oplossing en fijn dat Let's Encrypt CRL's gaat publiceren, maar de problemen van OCSP zijn al zo goed als opgelost op een veel slimmere manier met OCSP Stapling. Let's Encrypt vermeldt in dat stukje inderdaad niet dat OCSP stapling ook nog bestaat. Wat ze wel vermelden is dat ze CRL's gaan aanbieden omdat browsers bezig zijn die kant op te gaan en omdat zowel Mozilla als Apple het binnenkort van CA's eisen. Dat browsermakers dit doen suggereert wel dat ze OCSP stapling niet ideaal vinden. Wellicht werkt het in de praktijk niet zo goed als in theorie zou kunnen. Ik kan zo iets bedenken waar dat heel goed aan zou kunnen liggen. OCSP stapling moet op de webserver geconfigureerd worden. Dus eindeloos veel beheerders van eindeloos veel webservers moeten het aanzetten. Afgaande op hoe dat meestal uitpakt denk ik dat je er gif op kan innemen dat het heel vaak wordt nagelaten. En dan is zo'n mechanisme misschien theoretisch geweldig, maar in de praktijk is het niet beter dan hoe ...