Deployment — OCSPResponder wird als einzelne, statisch gelinkte Binary ohne externe Laufzeitabhängigkeiten ausgeliefert. Vorgefertigte Binaries stehen für Linux, Windows und macOS zur Verfügung. Ein Docker-Image wird für containerbasierte Deployments und Orchestrierungsplattformen bereitgestellt.
Architektur des Offline-Modus — Im Offline-Modus wird OCSPResponder in zwei Komponenten aufgeteilt. Der Generator ist ein Kommandozeilenwerkzeug, das periodisch ausgeführt wird (z. B. über Cron oder einen Scheduler). Er liest die vollständigen Zertifikatsstatusdaten, berechnet für jeden Eintrag eine signierte OCSP Response mit dem zugehörigen OCSP-Signer-Schlüssel und speichert die Ergebnisse in der Datenbank. Der Server ist ein dauerhaft laufender Netzwerkdienst, der eingehende OCSP-Anfragen entgegennimmt, Issuing CA und Seriennummer aus jeder Anfrage extrahiert, die entsprechende vorberechnete Response nachschlägt und an den Client zurückliefert. Vorberechnete Responses können konstruktionsbedingt keine Nonce enthalten.
Architektur des Online-Modus — Im Online-Modus wird nur die Serverkomponente verwendet. Sie nimmt OCSP-Anfragen auf einem Netzwerk-Socket entgegen und delegiert jede Anfrage an den internen Signer, der den Zertifikatsstatus aus der Datenbank ermittelt und eine signierte OCSP Response erzeugt. Enthält die Client-Anfrage eine Nonce, wird diese in die Response eingebettet.
Performance — OCSPResponder ist auf Geschwindigkeit ausgelegt. Im Offline-Modus werden vorberechnete Responses im Speicher gecacht, was Lookup-Zeiten im Sub-Millisekundenbereich ermöglicht. Selbst auf bescheidener Hardware erreicht der Durchsatz problemlos Tausende von Anfragen pro Sekunde. Der Speicherverbrauch liegt typischerweise im Bereich von 100–200 MB, selbst unter anhaltend hoher Last — der Ressourcenverbrauch ist in den meisten Deployment-Szenarien vernachlässigbar.
Monitoring — OCSPResponder stellt Performance- und Betriebsmetriken im Prometheus-Format bereit und ermöglicht so die Integration in gängige Monitoring- und Alerting-Stacks wie Prometheus/Grafana.
Schlüsselspeicheroptionen — Private OCSP-Signer-Schlüssel können als Dateien auf der Festplatte gespeichert, in die OCSPResponder-Datenbank importiert oder in einem über PKCS#11 zugänglichen Hardware-Sicherheitsmodul vorgehalten werden. Pro Issuing CA können mehrere Signer-Zertifikate konfiguriert werden; OCSPResponder wählt automatisch den aktuellsten gültigen Signer für die Response-Erzeugung aus.
Ausfallsicherheit: Unterstützung von gängigen Load Balancern und Reverse Proxies.
