オフラインのルートCAはOCSP応答にどのように署名しますか？

Question

ルートCAはセキュリティ上の目的でオフラインになっていますが、中間証明書ステータスチェックのためにクライアントから送信されたOCSP応答にどのように署名するのですか？

Answer 1

OCSP応答は、CA自体だけでなく、指定されたOCSP署名者によっても署名されます。これは、CAがOCSPSigning（ 1.3.6.1.5.5.7.3.9 ）拡張キーの使用法。

詳細は RFC 6960、セクション4.2.2.2 を参照してください。