Авторизация по SSL-сертификатам и их отзыв

как удаленный сервер сможет «узнать», что данный клиентский сертификат был отозван

Я так понимаю, что ни как. Нужно руками файл с отозванными сертификатами на сервер выкладывать.

Этим должен заниматься веб-сервер, нужно поинтересоваться, есть ли в принципе проверка отозванных клиентских сертификатов у имеющихся вебсерверов, у того же апача

Где находится этот файл и как указать на этот файл в конфигах Apache и Nginx?

Апач умеет проверять статус клиентского сертификата по OCSP, нжынкс - наверное нет.

У Apache есть две переменные SSLCARevocationPath и SSLCARevocationFile

https://www.tbs-certificates.co.uk/FAQ/en/200.html

Нужен будет свой OCSP сервер, по-хорошему, openssl для этого достаточно.

Я читал про OCSP, но так и не понял, информация об этом сервере должна находиться в клиентских сертификатах или в CA-сертификате? Если в клиентских сертификатах, то хорошо. Я их тогда смогу сгенерировать уже с этой информацией. Но если эта информация должна быть в CA-сертификате и в существующий нельзя добавить информацию об OCSP, а только создать новый, то это мне не подойдет.

В каждом выпущенном сертификате.

http://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_crl

OCSP, это слишком для твоей ситуации.

root CA у тебя же по идее - тогда с отзывами не должно быть проблем. Да и вообще это можно при желании перенести на прикладной уровень и в дальнейшем управлять сертификатами на лету.

root CA у тебя же по идее - тогда с отзывами не должно быть проблем.

Почему не должно быть проблем? Я же создаю сертификаты в одном месте, а использую в другом.

Да и вообще это можно при желании перенести на прикладной уровень и в дальнейшем управлять сертификатами на лету.

Можно поподробнее, пожалуйста?

Я читал про OCSP, но так и не понял, информация об этом сервере должна находиться в клиентских сертификатах или в CA-сертификате

и там и там.

В вашем случае вы можете продолжить использовать текущий СА сертификат без OCSP, а клиентские с OCSP