CRL (Certificate Revocation List / Sertifika İptal Listesi), bir otoritenin iptal ettiği sertifikaların yayınlandığı listedir. "CRL indirme zaman aşımı" hatası, istemci veya sunucunun bu listeyi indirip iptal durumunu kontrol edemediğinde oluşur ve bazı yapılandırmalarda bağlantı gecikmesine ya da uyarıya yol açar.
Neden Zaman Aşımı Olur?
- Ağ/güvenlik duvarı, otoritenin CRL adresine erişimi engelliyor.
- CRL sunucusunda geçici erişim/gecikme sorunu var.
- DNS çözümleme sorunları CRL adresine ulaşmayı engelliyor.
Çözüm Yaklaşımı
- Sunucunun dışarıya (80/443) erişebildiğinden ve DNS'in çalıştığından emin olun.
- Mümkünse OCSP stapling kullanın; bu, istemcinin ayrıca CRL/OCSP sorgusu yapma ihtiyacını azaltır ve hızlandırır.
- Geçici bir otorite kaynaklı kesinti söz konusuysa bir süre sonra tekrar deneyin.
CRL ve OCSP
CRL toplu bir liste indirirken, OCSP tekil ve anlık sorgu yapar. Modern sistemler genellikle OCSP ve stapling'e yönelmiştir çünkü daha hızlı ve hafiftir. Ayrıntı için wiki makalelerimize, ürünler için SSL sertifikaları sayfamıza bakabilirsiniz.