user2140583

Asked: 2022-04-14 11:23:46 +0800 CST

OCSP 如何处理已删除的证书？

0

我们在 Windows Server 2019 上运行 Microsoft 证书颁发机构。我们通过 MDM 向 Android 设备颁发证书。Android 设备用户使用需要客户端证书的 Chrome Web 浏览器（在 Android 上）浏览到 Web 应用程序（由 Apache 托管，在 PHP 8 中实现）。

我们正在安装一个具有 Microsoft OCSP 响应者角色的单独 Windows Server 2019 实例，以验证/验证提交给 Apache Web 服务器的客户端证书是否有效。Apache 有几个指令来处理 OCSP 验证。我们还想在 PHP 中验证证书以提高安全性。

根据我阅读多个 RFC 和 Microsoft 技术文档的研究，Microsoft OCSP Responder 似乎通过引用 CRL 来验证证书的吊销状态。

如果证书已从 CA 中删除而不是吊销，Microsoft OCSP 响应程序如何验证证书？如果已删除且未撤销，它们将不会显示在 CRL 中。

我在这里错过了什么吗？Microsoft OCSP 响应程序是否会根据 CA 数据库验证序列号及其吊销状态？

Laney

Asked: 2021-08-05 07:49:55 +0800 CST

具有多个名称的 CRL 分发点

1

我想创建一个带有 CRL 分发点的证书，其中包含多个 URL（根据 RFC 5280，指向同一个 CRL）：

当 OpenSSL 解析此类证书时，它会显示如下内容：

            X509v3 CRL Distribution Points: 

                Full Name:
                  URI:http://addr1
                  URI:http://addr2
                  ...

如何自己创建这样的证书，最好使用openssl？

csavvy

Asked: 2020-12-17 10:32:21 +0800 CST

p7s 文件中存在的 crl 证书或 pem 证书的数量

0

问：我们如何找出可以从 P7S 文件生成的 CRL 文件的数量或 PEM 文件的数量？

我（从这里）了解到，P7S 文件中包含的数据只不过是 PEM 文件的编码（ASN1，DER 格式）数据。

因此，如果有一个以（ASN1、DER 格式）编码的 P7S 文件，我使用一些 OpenSSL 命令来获取 ASN1PARSE 数据，并从中获取 CRL，最后得到 PEM。

我知道 ASN1PARSE 与 OpenSSL 一起使用时会给出一些文本文件，其中包含一些偏移量、标题长度和长度，通过使用我们提取上述 CRL(S) 和 PEM(S)。

现在我的问题是，如帖子第一行所述，我怎么知道我正在从 P7S 文件生成正确数量的文件（crls、pems）？

mimo

Asked: 2020-08-19 05:40:56 +0800 CST

当中间 CA 妨碍时，根据 CRL 检查 SSL 证书

3

我试图了解如何检查 SSL 证书，并在证书链如下时考虑任何相关的已发布 CRL：

根 CA（没有 CRL 分发点）
- 中间 CA（通告由根 CA 签名的 CRL 分发点）
  - 网站证书（宣传由中间 CA 签署的 CRL DP）

因此，需要检查两个 CRL 列表。

碰巧BBC的网站配置如上所示，我们以此为例。我使用的文件在这个问题的末尾。

当我尝试在不检查 CRL 的情况下验证证书时，没关系：

$ openssl verify -CAfile intermediate_fullchain.pem bbc.pem
bbc.pem: OK

当我尝试从证书中给出的 CRL URL 检查 CRL 时，我收到一个错误：

$ openssl verify -crl_download -crl_check_all -CAfile intermediate_fullchain.pem bbc.pem
Error loading CRL from http://crl.globalsign.com/gsrsaovsslca2018.crl
C = GB, ST = London, L = London, O = British Broadcasting Corporation, CN = www.bbc.com
error 3 at 0 depth lookup: unable to get certificate CRL
error bbc.pem: verification failed

这对我来说很有意义，因为 crl 文件是 DER 格式，而 openssl 需要 PEM 格式，所以让我们下载 CRL 并将它们转换为 PEM。可以使用以下方法找到 CRL URL：

$ openssl x509 -in bbc.pem -text -noout
$ openssl x509 -in intermediate_fullchain.pem -text -noout

然后，我做了：

$ wget -O intermediate_crl.der http://crl.globalsign.com/gsrsaovsslca2018.crl
$ openssl crl -inform DER -in intermediate_crl.der -outform PEM -out intermediate_crl.pem
$ wget -O root_crl.der http://crl.globalsign.com/root-r3.crl
$ openssl crl -inform DER -in root_crl.der -outform PEM -out root_crl.pem

现在，我认为我拥有验证证书所需的一切：

$ openssl verify -crl_check_all -CRLfile intermediate_crl.pem -CRLfile root_crl.pem -CAfile intermediate_fullchain.pem bbc.pem
OU = GlobalSign Root CA - R3, O = GlobalSign, CN = GlobalSign
error 3 at 2 depth lookup: unable to get certificate CRL
error bbc.pem: verification failed

但不是！验证仍然失败。我的问题：

上面命令中的问题到底是什么？这是否意味着 OpenSSL 期望根 CA 具有 CRL？
根据 CA 链中公布的两个 CRL 检查证书的正确方法是什么？

文件

bbc.pem：网络服务器证书：

intermediate_fullchain.pem: 中间 CA 证书，带有指向根 CA 的链：

Moutabreath

Asked: 2017-01-03 02:04:25 +0800 CST

加载 CRL 编号时出现 OpenSSL 错误

5

我无法生成 CRL。我可能在配置文件中遗漏了一些东西。我得到的错误是“加载 crl 号时出现 openssl 错误”。Crl 配置部分：

 [ CA_default ]
# Directory and file locations.
dir               = box/ca
certs             = $dir/certs
crl_dir           = $dir/crl
new_certs_dir     = $dir/newcerts
database          = $dir/index.txt
serial            = $dir/serial
RANDFILE          = $dir/private/.rand
# For certificate revocation lists.
crlnumber         = $dir/crlnumber
crl               = $dir/crl/RcCA.crl
crl_extensions    = crl_ext
default_crl_days  = 30

我使用的命令：

openssl ca -config full-path-to-openssl.cnf  -gencrl -out full-path-to-RcCA.crl

其中 rcCA 是 crl 文件。文件结构：
根 CA

证书
crl
企业社会责任
中间的
新证书
pfx
私人的
串行
openssl.cnf
索引.txt
crl号

下面三个是文件，上面是文件夹。
我找到的答案指向缺少索引文件。但它存在于我的机器上。我不知道我是否把它放在正确的地方。

编辑：

@StacksOfZtuff 有帮助。但是现在我遇到了不同的错误。我不知道这是否被认为已解决，或者我只是掩盖了以前的错误。

22048:error:2207707B:X509 V3 routines:V2I_AUTHORITY_KEYID:unable to get issuer keyid:.\crypto\x509v3\v3_akey.c:165:

22048:error:22098080:X509 V3 routines:X509V3_EXT_nconf:error in extension:.\crypto\x509v3\v3_conf.c:95:name=authorityKeyIdentifier, value=keyid:always

编辑第二条评论：

我想强调一下，我的 CA 工作正常，除了 CRL 问题。我能够生成密钥、csr、cer 和 pkcs12。我似乎能够向 CRL 添加条目，但是当我尝试调用该gencrl命令时，我得到了错误。我什至不确定这是否重要

也可以看看

后续帖子：Openssl 生成 CRL 产生错误：无法获取颁发者 keyiid

Mackolicious

Asked: 2016-10-10 07:03:02 +0800 CST

更新 IIS 的默认 CRL（证书吊销列表）

2

我正在创建需要客户端身份验证的（IIS 8.5）Web 服务器。客户端身份验证将使用由第三方 CA 颁发的客户端证书进行。

我希望能够做到以下几点：

定期检查第三方的 CRL。
针对第三方 CA 验证客户端的证书。

这可能吗？

Shawn J. Goff

Asked: 2012-07-07 06:34:33 +0800 CST

如何使用 OpenSSL 实用程序从 x509 证书中提取 CRL 位置

1

我需要从证书颁发机构提取 crl 位置，以便我可以使用它来验证证书。除了使用选项并尝试解析输出（这似乎容易出现漏洞）之外，是否可以使用该openssl实用程序？-text

makerofthings7

Asked: 2012-06-02 19:53:02 +0800 CST

Windows 可以记录 CryptoAPI CRL 超时吗？

6

我怀疑构建 CRL 缓存的过程可能会导致某些应用程序出现延迟。

我们有几个 .NET 应用程序偶尔会在没有 CPU 或磁盘访问的情况下“运行缓慢”。我怀疑他们在尝试验证证书时挂断了身份验证，因为超时将近 20 秒。

根据这篇 MSFT 文章

大多数应用程序不指定 CryptoAPI 使用累积超时。如果未启用累积超时选项，CryptoAPI 将使用 CryptoAPI 默认设置，即每个 URL 超时 15 秒。如果应用程序指定了累积超时选项，那么 CryptoAPI 将使用默认设置 20 秒作为累积超时。第一个 URL 的最大超时时间为 10 秒。随后的每个 URL 超时是累积超时值中剩余余额的一半。

由于这是一项服务，我如何检测和记录我有源代码的应用程序以及第 3 方的 CryptoAPI 挂起

makerofthings7

Asked: 2012-06-02 19:06:27 +0800 CST

我的 Windows 服务器中的证书 OCSP 和 CRL 缓存有多大？

6

如何在我的域控制器中查看内存中 OCSP 缓存到 CRL 缓存的大小？

换句话说，大多数使用 CryptoAPI 的 Windows 进程都有一个内存缓存，其中包含与该应用程序相关的每个 CRL 和 OCSP。这很重要，因为客户端内存使用和网络 IO 请求数量之间存在巨大的性能折衷。

在我的例子中，CRL“客户端”是一个验证 WCF 证书身份验证的服务器

nTier PKI 的图像

OCSP 如何处理已删除的证书？

具有多个名称的 CRL 分发点

p7s 文件中存在的 crl 证书或 pem 证书的数量

当中间 CA 妨碍时，根据 CRL 检查 SSL 证书

文件

加载 CRL 编号时出现 OpenSSL 错误

编辑：

编辑第二条评论：

也可以看看

更新 IIS 的默认 CRL（证书吊销列表）

如何使用 OpenSSL 实用程序从 x509 证书中提取 CRL 位置

Windows 可以记录 CryptoAPI CRL 超时吗？

我的 Windows 服务器中的证书 OCSP 和 CRL 缓存有多大？

新安装后 postgres 的默认超级用户用户名/密码是什么？

SFTP 使用什么端口？

命令行列出 Windows Active Directory 组中的用户？

什么是 Pem 文件，它与其他 OpenSSL 生成的密钥文件格式有何不同？

如何确定bash变量是否为空？

问题[crl](server)

文件

编辑：

编辑第二条评论：

也可以看看