如何測試代理鏈路中的 TLS 憑證撤銷檢查
簽章有效且憑證鏈受信任，不表示憑證仍可接受。憑證授權單位可能在預定到期前撤銷憑證。用戶端可透過裝訂的 OCSP 回應、直接 OCSP 查詢、憑證撤銷清單或平台服務取得狀態。
代理路由會增加取證難度。HTTP CONNECT 代理通常不終止目標 TLS，而 HTTPS 代理會在用戶端到代理這一跳提供自己的憑證。獲核准的檢查閘道還可能形成新信任邊界。瀏覽器、命令列工具與作業系統也可能採用不同撤銷政策。
本文建立安全驗收測試。只使用自己擁有或明確獲准測試的憑證、端點與代理設施，不要對第三方撤銷服務製造高頻流量。
畫出每個 TLS 邊界
| 路徑 | 被驗證憑證 | 可能的撤銷來源 |
|---|---|---|
| 用戶端到一般 HTTP 代理 | 通常無 TLS 憑證 | 不適用 |
| 用戶端到 HTTPS 代理 | 代理閘道憑證 | 代理憑證的裝訂或引用狀態 |
| CONNECT 隧道到目標 | 目標憑證 | 目標裝訂、OCSP、CRL 或平台服務 |
| 獲核准的 TLS 檢查 | 檢查憑證與上游目標驗證 | 兩側組織政策 |
不要把代理憑證與目標憑證視為同一憑證鏈。與 HTTPS 代理成功交握，不能證明 CONNECT 後收到的憑證有效。
加入撤銷案例前，先以HTTPS 代理 TLS 稽核建立憑證鏈、主機名稱、SNI 與信任邊界基線。
定義用戶端政策
為每個正式用戶端記錄執行階段與版本、信任庫與憑證後端、是否啟用撤銷檢查、是否要求 OCSP 裝訂、回應器查詢失敗是軟失敗或硬失敗、CRL 支援與快取行為、回應器存取路徑，以及企業或瀏覽器管理政策。
不要假設使用同一代理的用戶端行為一致。一個可能驗證裝訂狀態，一個會查詢 OCSP，另一個只用作業系統提供的撤銷資料。
建立受控憑證測試樣例
準備獲授權端點，分別涵蓋目前良好狀態、有效裝訂回應、無裝訂、已撤銷測試憑證、過期狀態回應、不可達回應器或 CRL 發布點，以及獨立的無效憑證鏈負向控制。
使用私人測試 CA 或供應商測試環境。不要在正式用戶端停用驗證。只有關閉憑證或主機名稱檢查後才通過的測試，應判定失敗。
建立直連基線
在相同裝置與執行階段，透過明確核准的控制路徑直接測試每個樣例。記錄用戶端版本、憑證指紋雜湊、簽發者別名、裝訂狀態是否存在與年齡、撤銷政策、驗證結果、錯誤類別及 DNS、連線、TLS、總耗時。
不得記錄私鑰、代理憑證或原始客戶主機名稱。直連基線未產生預期結果時，先修復測試環境或用戶端政策，再評估代理。
分別測試代理與目標憑證
對 HTTPS 代理，先驗證閘道憑證與撤銷行為，再建立 CONNECT 並驗證隧道內目標憑證。記錄失敗所在的跳點。
每次只執行一條路由，保持用戶端、樣例與政策不變。比較憑證指紋與鏈、裝訂回應存在與新鮮度、OCSP 或 CRL 可達性、驗證結果與錯誤類別、TLS 與總耗時，以及是否直連回退。
應為透明隧道的路由若出現意外目標憑證變化，立即停止調查。不能只為通過測試而新增信任根。
驗證回應器可達性，避免流量外洩
用戶端直接取得 OCSP 或 CRL 時，必須確認要求遵循必要代理政策。撤銷查詢可能意外直連、透過另一網路路徑揭露目標憑證，或因回應器不在出口允許清單而失敗。
使用受控回應器主機名稱與低請求量，驗證 DNS 責任方、路由、狀態碼、快取與逾時。如果所有出口都必須經代理，應把代理繞過稽核同時套用於應用要求與撤銷查詢。
不要阻斷第三方回應器來製造失敗，應使用實驗室回應器、受控 DNS 或隔離測試網路。
區分軟失敗與硬失敗
回應器不可達不等於明確撤銷，應分別記錄良好、已撤銷、未知、回應器不可用和狀態證據過期。用戶端對未知或不可用狀態的處理必須有文件。
絕不能把明確撤銷結果轉成透過其他出口重試。輪替出口不會改變憑證狀態，反而可能掩蓋原始證據。
檢查快取與時間邊界
撤銷回應和 CRL 都有有效時間。應在快取到期前後重複測試，並記錄 this-update 與 next-update 的年齡或有限元資料。系統時鐘偏差需單獨測試；時鐘錯誤可能拒絕目前證據或接受過期資料，應修正時間同步而不是擴大驗證視窗。
驗收門檻
- 代理與目標 TLS 邊界可分別歸因。
- 已撤銷測試憑證被拒絕。
- 目前良好證據能通過。
- 過期、未知與不可達情況符合文件政策。
- OCSP 與 CRL 查詢遵循核准出口規則。
- 不發生未核准直連回退。
- 憑證與主機名稱驗證保持開啟。
- 快取在規定視窗內更新。
- 日誌只含雜湊與類別，不含憑證或私鑰。
疑難排解對照
| 現象 | 優先調查 |
|---|---|
| HTTPS 代理在 CONNECT 前失敗 | 代理憑證、信任庫與代理撤銷路徑 |
| CONNECT 成功但目標 TLS 失敗 | 目標憑證鏈、主機名稱、狀態與政策 |
| 直連成功、代理逾時 | 回應器路由、DNS、出口允許清單或隧道延遲 |
| 已撤銷樣例仍成功 | 用戶端政策或不支援檢查 |
| 只有瀏覽器拒絕 | 瀏覽器或作業系統政策與快取 |
| 重新啟動後結果改變 | OCSP、CRL 或平台狀態快取 |
curl IPv6 作用域與重試指南可協助把位址選擇和重試故障與憑證撤銷行為分開。
常見問題
OCSP 裝訂會消除所有回應器流量嗎？
不一定。用戶端政策、缺少或過期裝訂、中繼憑證與平台行為仍可能觸發其他檢查，應測量實際用戶端。
HTTP CONNECT 會讓用戶端看不到撤銷狀態嗎？
通常目標 TLS 交握仍端到端通過隧道，用戶端可驗證所提供的狀態證據。獲核准的 TLS 檢查會形成不同邊界，必須單獨測試。
OCSP 回應器不可達時必須硬失敗嗎？
這是風險與平台政策決定。應記錄預期行為，並區分網路不可用與明確撤銷。高風險系統可能需要更嚴格政策。
更換代理出口能修復憑證撤銷嗎？
不能。明確撤銷是憑證狀態。更換出口可能改變可達性，但絕不能覆寫或抹除撤銷決定。
合規說明
只測試自己控制或獲授權評估的系統與憑證。遵守 CA、代理與網路政策，保護憑證證據並減少保留。不得停用驗證、攔截未授權流量，或以替代路由繞過安全控制。
