OCSP dotaz pomocí OpenSSL

Zjistit za pomoci OpenSSL, zda byl SSL/TLS certifikát revokován (zneplatněn), je velice snadné. Stačí k tomu mít k dispozici dva soubory (serverový SSL/TLS certifikát a intermediate certifikát) a dva příkazy.

V tomto dokumentu předpokládáme, že:

serverový SSL/TLS certifikát máme v souboru ServerCertificate.crt
a intermediate certifikát máme v souboru IntermediateCA.crt

Nejprve zjistíme adresu OCSP serveru certifikační autority. Tuto hodnotu zjistíme přímo z SSL/TLS certifikátu:

openssl x509 -noout -ocsp_uri -in ServerCertificate.crt

Odpověď může vypadat následovně:

http://status.geotrust.com

Tuto adresu použijeme pro dotaz na OCSP server.

Nyní odešleme dotaz OCSP serveru, zda SSL/TLS certifikát byl či nebyl revokován:

openssl ocsp -issuer IntermediateCA.crt -cert ServerCertificate.crt -text -url http://status.geotrust.com -header HOST=status.geotrust.com

U OpenSSL verzí 1.0.2 a starších:

openssl ocsp -issuer IntermediateCA.crt -cert ServerCertificate.crt -text -url http://status.geotrust.com -header "HOST" "status.geotrust.com"

Výstup tohoto příkazu může být poměrně obsáhlý, ovšem pro nás je důležitý řádek Revocation Time - pokud tam uveden je, nebo pokud je v odpovědi Cert Status: revoked, pak byl tento SSL/TLS certifikát revokován.

Naopak, pokud v odpovědi hodnota Revocation Time není, nebo je-li v odpovědi hodnota Cert Status jiná (zpravidla good), předpokládáme, že certifikát zneplatněn nebyl.

V některých případech může OCSP server uvést i důvod zneplatnění SSL/TLS certifikátu.

Možné situace

OCSP Responder může být z různých důvodů dočasně nedostupný. V takovém případě záleží na implementaci pravidel konkrétního systému či aplikace, jak bude dále postupovat. Zpravidla jsou to dva scénáře:

Soft fail

Nejčastější implementace, při níž se předpokládá, že pokud OCSP server neodpoví, že byl certifikát zneplatněn, pak se certifikát považuje za platný.
Hard fail

S touto implementací se nejčastěji setkáme v prostředí s velmi přísnými požadavky na zabezpečení. Pakliže OCSP server nepotvrdí, že certifikát nebyl revokován (včetně situace, kdy je OCSP server nedostupný), spojení je přerušeno.