ওসিএসপি জবাবদাতা উপস্থিত নেই?


13

আমি ওসিএসপি বৈধতা রুটিনগুলি সেট করার চেষ্টা করছি এবং তাই প্রথমে পরিবেশের সাথে স্বাচ্ছন্দ্য বোধ করতে চাই। উদাহরণস্বরূপ ওপেনএসএসএলে দুর্দান্ত টিউটোরিয়াল পাওয়া গেছে : কোনও ওসিএসপির বিপরীতে শংসাপত্রটি ম্যানুয়ালি যাচাই করুন

একাধিক প্রশ্ন দেখা দেয়, তাই দয়া করে আমাকে সহ্য করুন।

এই টিউটোরিয়ালের পরে কিছু পরিবর্তন হয়েছে, তবে আমি মনে করি সংক্ষেপটি হ'ল:

1) আপনি যাচাই করতে চান এমন শংসাপত্রটি ছিনিয়ে নিন eg

openssl s_client -connect wikipedia.org:443 2>&1 < /dev/null | sed -n '/-----BEGIN/,/-----END/p' > wikipedia.pem

2) শংসাপত্র শৃঙ্খলা তৈরি, যেমন

openssl s_client -connect wikipedia.org:443 -showcerts 2>&1 < /dev/null > chain.pem

এবং তারপরে যথাযথ সম্পাদনা করুন। আমি দেখতে পেয়েছি যে উপরেরগুলি স্ব-স্বাক্ষরিত সিএ শংসাপত্র, গ্লোবালসাইনরুটসিএ সরবরাহ করে না, তাই এতে যোগ করা হয়েছে।

3) অকসপ ইউআরআই নির্ধারণ করুন, যেমন

openssl x509 -noout -ocsp_uri -in wikipedia.pem 

যা ফিরে আসে

http://ocsp2.globalsign.com/gsorganizationvalsha2g2

4) ওপেনসেল অকসপ ক্লায়েন্টকে ডেকে আনুন, যেমন

openssl ocsp -issuer chain.pem -cert wikipedia.pem -url http://ocsp2.globalsign.com/gsorganizationvalsha2g2

যা ফিরে আসে

[woody@oc2042275410 testCerts]$ openssl ocsp -issuer chain.pem -cert wikipedia.pem -url http ://ocsp2.globalsign.com/gsorganizationvalsha2g2
Error querying OCSP responsder
140062843348808:error:27076072:OCSP routines:PARSE_HTTP_LINE1:server response error:ocsp_ht.c:250:Code=403,Reason=Forbidden

(Responsder?)

আমি পড়েছি যে এটি ভার্চুয়ালাইজেশন সমস্যার কারণে, তাই

openssl ocsp -issuer chain.pem -cert wikipedia.pem -url http://ocsp2.globalsign.com/gsorganizationvalsha2g2 -header "HOST" "ocsp2.globalsign.com"

যা ফলন দেয়

Response Verify Failure
140400906352456:error:27069065:OCSP routines:OCSP_basic_verify:certificate verify error:ocsp_vfy.c:126:Verify error:unable to get local issuer certificate
wikipedia.pem: good
    This Update: Apr 28 23:10:10 2015 GMT
    Next Update: Apr 29 11:10:10 2015 GMT

সুতরাং আমি পেয়ে যাচ্ছি যে ওসিএসপি ফিরে এসেছে যে শংসাপত্রটি ভাল, তবে এটি 1 টি প্রশ্নের দিকে নিয়ে যায়: ত্রুটি কেন 'স্থানীয় ইস্যুকারী শংসাপত্র পেতে অক্ষম'?

ঠিক আছে, গুগলের সাথে আবার চেষ্টা করছি। একই রুটিন, ক্রেডিট শংসাপত্র, ওসিএসপি ইউআরআই পরীক্ষা করা:

openssl x509 -noout -ocsp_uri -in google.pem 

উৎপাদনের

http://clients1.google.com/ocsp.

যথেষ্ট ন্যায্য:

openssl ocsp -issuer gchain.pem -cert google.pem -url http://clients1.google.com/ocsp
Error querying OCSP responsder
140433209165640:error:27076072:OCSP routines:PARSE_HTTP_LINE1:server response error:ocsp_ht.c:250:Code=404,Reason=Not Found

পাওয়া গেল না? অবাক লাগল। ওয়্যারশার্ক দিয়ে পরীক্ষা করা হচ্ছে:

> POST /ocsp HTTP/1.0
> Content-Type: application/ocsp-request
> Content-Length: 112

> 0n0l0E0C0A0...+..........j.....p.I.#z...(~d...U.. [.5...J:.......l..9.....{6.#0!0...+.....0......].O.9..}d`.L...
< ~HTTP/1.0 404 Not Found
< Content-Type: text/html; charset=UTF-8
< X-Content-Type-Options: nosniff
< Date: Tue, 28 Apr 2015 22:42:40 GMT
< Server: sffe
< Content-Length: 1429
< X-XSS-Protection: 1; mode=block
< Alternate-Protocol: 80:quic,p=1
< 
< <!DOCTYPE html>
< <html lang=en>
<   <meta charset=utf-8>
<   <meta name=viewport content="initial-scale=1, minimum-scale=1, width=device-width">
<   <title>Error 404 (Not Found)!!1</title>
<   <style>
<     *{margin:0;padding:0}html,code{font:15px/22px arial,sans-serif}html{background:#fff;color:#222;padding:15px}body{margin:7% auto 0;max-width:390px;min-height:180px;padding:30px 0 15px}* > body{background:url(//www.google.com/images/errors/robot.png) 100% 5px no-repeat;padding-right:205px}p{margin:11px 0 22px;overflow:hidden}ins{color:#777;text-decoration:none}a img{border:0}@media screen and (max-width:772px){body{background:none;margin-top:0;max-width:none;padding-right:0}}#logo{background:url(//www.google.com/images/errors/logo_sm_2.png) no-repeat}@media only screen and (min-resolution:192dpi){#logo{background:url(//www.google.com/images/errors/logo_sm_2_hr.png) no-repeat 0% 0%/100% 100%;-moz-border-image:url(//www.google.com/images/errors/logo_sm_2_hr.png) 0}}@media only screen and (-webkit-min-device-pixel-ratio:2){#logo{background:url(//www.google.com/images/errors/logo_sm_2_hr.png) no-repeat;-webkit-background-size:100% 100%}}#logo{display:inline-block;height:55px;width:150px}
<   </style>
<   <a href=//www.google.com/><span id=logo aria-label=Google></span></a>
<   <p><b>404.</b> <ins>That...s an error.</ins>
<   <p>The requested URL <code>/ocsp</code> was not found on this server.  <ins>That...s all we know.</ins>

সুতরাং যে প্রশ্ন 2: এটি কি সঠিক, ওসিএসপি সরানো হয়েছিল, এবং ওসিএসপি ইউআরআইতে উপস্থিত নেই? এটি কি সম্ভবত যে সার্ভারটি সমানভাবে ওসিএসপি স্ট্যাপলিংয়ে চলে গেছে এবং ওসিএসপি সার্ভারটিকে আর গুরুত্বপূর্ণ মনে করে না?


আপনি কি ওপেনসেল ওএসএসপি-নোনিফায়ার যুক্ত করার চেষ্টা করেছেন?

-নোভারিফাই প্রথম ক্ষেত্রে কাজ করে, যদিও এটি 1 টি প্রশ্নের ত্রুটির ব্যাখ্যা দেয় না, কেবল এটি সরিয়ে দেয়। আমি এখনও বুঝতে পারি না কেন এটি স্থানীয় ইস্যুকারী শংসাপত্রটি খুঁজে পাচ্ছে না।
রবার্ট ওয়েভার

উত্তর:


6

1) সম্পর্কিত

ওসিএসপির একটি প্রতিক্রিয়া প্রমাণীকরণের জন্য ব্যবহৃত একটি "প্রতিক্রিয়া স্বাক্ষর কী / শংসাপত্র জুটি" রয়েছে। এই শংসাপত্র প্রতিক্রিয়া দেওয়া হয়:

$ openssl ocsp -issuer chain.pem -cert wikipedia.pem -url http://ocsp2.globalsign.com/gsorganizationvalsha2g2 -header "HOST" "ocsp2.globalsign.com" -resp_text
-----BEGIN CERTIFICATE-----
[...]
UMiqxBNugzQ=
-----END CERTIFICATE-----

সুতরাং আসুন এটি sigsant.pem সংরক্ষণ করুন এবং দেখুন কি:

$ openssl ocsp -issuer chain_wikipedia.pem -cert wikipedia.pem -url http://ocsp2.globalsign.com/gsorganizationvalsha2g2 -header "HOST" "ocsp2.globalsign.com" -resp_text | sed -n '/-----BEGIN/,/-----END/p' > signcert.pem
$ openssl verify signcert.pem
signcert.pem: C = BE, O = GlobalSign nv-sa, CN = GlobalSign OV CA - SHA256 - G2 OCSP responder - 2, serialNumber = 20150914163800
error 20 at 0 depth lookup:unable to get local issuer certificate

ঠিক আছে ... অনুমান করি আমরা মধ্যবর্তীটি মিস করছি?

$ openssl x509 -noout -text -in signcert.pem  | grep -e 'Issuer:' -e '.crt'
Issuer: C=BE, O=GlobalSign nv-sa, CN=GlobalSign Organization Validation CA - SHA256 - G2

ঠিক আছে, কোন ইস্যুকারী ইউআরআই ফিল্ড ... এটি কেবল নোংরা। আসুন এটি সিএ থেকে আনা এবং একটি চেইন গঠন করুন:

$ curl https://secure.globalsign.com/cacert/gsorganizationvalsha2g2r1.crt | openssl x509 -inform der -outform pem >> signcert.pem

ঠিক আছে, এই উচিত ...

$ openssl ocsp -VAfile signcert.pem -issuer chain_wikipedia.pem -cert wikipedia.pem -url http://ocsp2.globalsign.com/gsorganizationvalsha2g2 -header "HOST" "ocsp2.globalsign.com" -resp_text
[...]
-----BEGIN CERTIFICATE-----
[...]
/TiSgNCpgNg=
-----END CERTIFICATE-----
Response Verify Failure

... ডাব্লুটিএফ ?! ওহ, বিভিন্ন স্বাক্ষরকারী প্রত্যয়ন ?!

$ cat >> signcert.pem
-----BEGIN CERTIFICATE-----
MIID9DCCAtygAwIBAgISESEjxqkycL2lZt0CfS9OgUN2MA0GCSqGSIb3DQEBCwUA
MGYxCzAJBgNVBAYTAkJFMRkwFwYDVQQKExBHbG9iYWxTaWduIG52LXNhMTwwOgYD
VQQDEzNHbG9iYWxTaWduIE9yZ2FuaXphdGlvbiBWYWxpZGF0aW9uIENBIC0gU0hB
MjU2IC0gRzIwHhcNMTUwODIwMTgxOTQxWhcNMTUxMTIwMTgxOTQxWjB9MQswCQYD
VQQGEwJCRTEZMBcGA1UEChMQR2xvYmFsU2lnbiBudi1zYTE6MDgGA1UEAxMxR2xv
YmFsU2lnbiBPViBDQSAtIFNIQTI1NiAtIEcyIE9DU1AgcmVzcG9uZGVyIC0gMTEX
MBUGA1UEBRMOMjAxNTA4MjAyMDE4MDAwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAw
ggEKAoIBAQC+8xxGkIda/04pKK3AXuLz8S8EH4qouLbP/lrd+DFY1oI8fU4kosO+
WjvBPMeK1ZvvR6YjcNhIRsoYsDWdvhMv8/qvu1GQBrs1oC2910lg3fGIR48LR6TR
+XYC1jFv0IHaF5vp+e2nu3diJi7FKHMbP5jVdd1e6cuEcrq+pEW7WkPDQnhzh6U/
GGdhxbH8uk4KPH42Os0Rf6la99EyXzJZ8zccy0ySGnIOF5Km1efXg0qwx3PEk3MQ
fbFG3n4zE7lwBsrEgACI+V9K50tWfJIAm8Ll/xpGhvqF+6swCr0WExMcqaNpdVsf
hiHFD18k8v4R6t7ht+cWx1YvSSA+/hz3AgMBAAGjgYQwgYEwCQYDVR0TBAIwADAO
BgNVHQ8BAf8EBAMCB4AwEwYDVR0lBAwwCgYIKwYBBQUHAwkwDwYJKwYBBQUHMAEF
BAIFADAdBgNVHQ4EFgQU8haQnheoUW3t3+j0OaxZMUgEjIkwHwYDVR0jBBgwFoAU
lt5h8b0cFilTHMDMfTuDAEDmGnwwDQYJKoZIhvcNAQELBQADggEBAH0MXy5hmHXc
G88ntZ2YcM3C6AAVqpfZ2+KYwL06cjmAFvNx6nWUN2w5MD59fiQC3DENCvlEGe29
d9+zsPM4hwEVRGKBIDueXycI0BNRAViacaks4OqRcc8gi1SBE5j94yt1kfp6VBhc
yQBU4Cg5UBy4OA3SsnYdt/Ur1Xm+BDlpi5WWROM1O5UECquLU3/P1prxF78EkTdv
OSGtP1VLMS47hk5v+sUC3hnfwUyKnr2oiVV6CvxxLOipdeDGl68dVisauNf7Dp9H
YvO8OLkN9es+R2AV5iFIzLWHjsQxLOrY18bi6N0zMP7tuZIRSVpil+b49KJ8T/e1
/TiSgNCpgNg=
-----END CERTIFICATE-----
^D

আঙ্গুলগুলি অতিক্রম করেছে ...

$ openssl ocsp -VAfile signcert.pem -issuer chain_wikipedia.pem -cert wikipedia.pem -url http://ocsp2.globalsign.com/gsorganizationvalsha2g2 -header "HOST" "ocsp2.globalsign.com"
Response verify OK
wikipedia.pem: good
        This Update: Sep 15 17:01:20 2015 GMT
        Next Update: Sep 16 05:01:20 2015 GMT

হ্যাঁ!

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.