最近，我们的 SSL 证书提供商发生故障。使用证书提供商颁发的证书的 Web 服务已停止工作，因为我们将 Web 服务的 RevocationMode 设置为“Online”（这是 WCF 服务的默认设置），这意味着“使用在线证书吊销列表 (CRL) 进行吊销检查”。
为了确保我们的服务即使在证书提供商关闭时仍然可用（至少对于之前已经访问过 Web 服务的用户而言），我们正在考虑切换到撤销模式 - “离线”，这意味着“使用缓存的证书撤销列表 (CRL) 进行撤销检查”。我在 Google 上搜索了很多，但未能找出从“在线”撤销模式切换到“离线”缓存模式的缺点。
将我们的 WCF 服务移至离线检查有何影响？
答案1
在线 CRL 检查可以更快地撤销证书。
如果您因泄密而撤销证书，在线检查将立即发现这一点。
离线 CRL 检查相对较慢。
如果您因泄密而吊销了证书，您的客户直到下次更新其缓存的 CRL 副本时才会发现。
因此，这意味着如果您使用离线（缓存）模式验证，您将让您的用户在更长的时间内暴露于受损证书。
从安全角度来看，更好的解决方案是让在线 CRL 变得冗余。
这需要一些资金和维护投资，但可以让您继续利用通过在线 CRL 检查提供的改进的安全性。