证书吊销列表（CRL）更新间隔可能长达数小时至数天，OCSP 响应可能被缓存，且部分客户端采用「软失败」策略，导致攻击窗口可能持续数小时甚至数天。