簡介

OCSP線上證書狀態協定是為了替換CRL而提出來的。對於現代web伺服器來說一般都是支援OCSP的，OCSP也是現代web伺服器的標配。

但是OCSP stapling卻不是所有的web伺服器都支援。但是現實工作中我們可能需要知道具體某個網站對OCSP的支援程度。

支援OCSP stapling的網站

怎麼判斷一個web站點是否支援OCSP stapling呢？

最簡單的方法就是去第三方網站檢視網站的證書資訊。比如我們之前提到過的entrust.ssllabs.com，通過輸入對應的網站資訊，在
Protocol Details一節中，可以找到網站是否支援OCSP stapling的具體資訊，如下所示：

可以看到這個網站是開啟了OCSP stapling的。但是事實上這個世界上的絕大部分網站是沒有開啟OCSP stapling的。

那麼除了在第三方網站上檢視OCSP stapling之外，還有沒有其他辦法呢？

事實上我們可以使用openssl神器輕鬆的做到這一點。當然前提是這個網站支援https。

接下來我們會詳細講解從獲取伺服器的證書到驗證伺服器是否支援OCSP stapling的一整套流程。

本文要驗證的網站是微軟的官網www.squarespace.com,這是一個支援OCSP stapling的網站。

獲取伺服器的證書

要校驗伺服器是否支援OSCP,我們首先需要獲取到這個伺服器的證書，可以用openssl提供的 openssl s_client -connect來完成這個工作。

 openssl s_client -connect www.squarespace.com:443

這個命令會輸出建立連線的所有內容，其中包含了要存取網站的證書資訊。

因為我們只需要網站的證書，所以需要把-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----之間的內容儲存即可。

那麼最終的命令如下：

  openssl s_client -connect www.squarespace.com:443 | sed -n '/-----BEGIN/,/-----END/p' > ca.pem

這裡我們使用一個sed -n命令從輸出中擷取以-----BEGIN開頭和以-----END結尾的資料。

最終我們得到了網站的證書。

除了網站本身的證書之外，網站的證書本身是由其他的證書來簽發的,這些證書叫做intermediate certificate，我們需要獲取到整個證書鏈。

同樣使用openssl的openssl s_client -showcerts命令可以獲取所有的證書鏈：

openssl s_client -showcerts  -connect www.squarespace.com:443 | sed -n '/-----BEGIN/,/-----END/p' > chain.pem

如果你開啟chain.pem檔案可以發現，檔案裡面有兩個證書，最上面的一個就是伺服器本身的證書，而第二個就是用於簽名伺服器證書的intermediate certificate。

獲取OCSP responder地址

如果證書中包含有OCSP responder的地址，那麼可以用下面的命令來獲取：

openssl x509 -noout -ocsp_uri -in ca.pem 

我們可以得到網站的ocsp responder地址是：http://ocsp.digicert.com。

還有一種方法可以獲得ocsp responder的地址：

openssl x509 -text -noout -in ca.pem

這個命令會輸出證書的所有資訊，我們可以看到下面的內容：

 Authority Information Access:
                OCSP - URI:http://ocsp.digicert.com
                CA Issuers - URI:http://cacerts.digicert.com/DigiCertTLSRSASHA2562020CA1-1.crt

其中OCSP - URI就是OCSP responder的地址。

傳送OCSP請求

有了OCSP responder的地址，我們就可以進行OCSP驗證，在這個命令中我們需要用到伺服器的證書和intermediate證書。

具體的請求命令如下：

openssl ocsp -issuer chain.pem -cert ca.pem -text -url http://ocsp.digicert.com

從輸出中我們可以得到兩部分，第一部分是OCSP Request Data,也就是OCSP請求資料：

OCSP Request Data:
    Version: 1 (0x0)
    Requestor List:
        Certificate ID:
          Hash Algorithm: sha1
          Issuer Name Hash: 521EE36C478119A9CB03FAB74E57E1197AF1818B
          Issuer Key Hash: 09262CA9DCFF639140E75867E2083F74F6EAF165
          Serial Number: 120014F1EC2395D56FDCC4DCB700000014F1EC
    Request Extensions:
        OCSP Nonce:
            04102873CFC7831AB971F3FDFBFCF3953EC5

從請求資料中，我們可以看到詳細的OCSP請求資料結構，包括issuer的內容和OCSP nonce。

第二部分是響應資料，很遺憾我們得到了下面的請求錯誤響應資料：

OCSP Response Data:
    OCSP Response Status: successful (0x0)
    Response Type: Basic OCSP Response
    Version: 1 (0x0)
    Responder Id: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4
    Produced At: Apr 30 04:36:26 2022 GMT
    Responses:
    Certificate ID:
      Hash Algorithm: sha1
      Issuer Name Hash: E4E395A229D3D4C1C31FF0980C0B4EC0098AABD8
      Issuer Key Hash: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4
      Serial Number: 0F21C13200AE502D52BBE8DFEAB0F807
    Cert Status: good
    This Update: Apr 30 04:21:01 2022 GMT
    Next Update: May  7 03:36:01 2022 GMT

上面返回結果中，Cert Status: good表示的是OCSP請求成功了，這個網站是一個支援OCSP協定的網站。

後面的兩行是OCSP上次更新的時間和下次更新的時間:

    This Update: Apr 30 04:21:01 2022 GMT
    Next Update: May  7 03:36:01 2022 GMT

說明這個網站還支援OCSP stapling。

另外，請求某些網站的OCSP url的時候可能會得到下面的異常：

Error querying OCSP responder
4346349100:error:27FFF072:OCSP routines:CRYPTO_internal:server response error:/AppleInternal/Library/BuildRoots/66382bca-8bca-11ec-aade-6613bcf0e2ee/Library/Caches/com.apple.xbs/Sources/libressl/libressl-2.8/crypto/ocsp/ocsp_ht.c:251:Code=400,Reason=Bad Request

為什麼會這樣呢？

這是因為ocsp.msocsp.com這個網站不支援OCSP預設的HTTP 1.0請求，在HTTP 1.0請求中預設是沒有Host這個請求頭的。所以我們需要新增上Host請求頭，然後再執行一次即可。

一個更加簡單的方法

以上我們實際上是將請求拆開來一步步執行的。我們還可以使用openssl一步執行任務如下：

openssl s_client -tlsextdebug -status -connect www.squarespace.com:443

從輸出中，我們可以看到下面的資料：

OCSP response:
======================================
OCSP Response Data:
    OCSP Response Status: successful (0x0)
    Response Type: Basic OCSP Response
    Version: 1 (0x0)
    Responder Id: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4
    Produced At: Apr 27 04:36:26 2022 GMT
    Responses:
    Certificate ID:
      Hash Algorithm: sha1
      Issuer Name Hash: E4E395A229D3D4C1C31FF0980C0B4EC0098AABD8
      Issuer Key Hash: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4
      Serial Number: 0F21C13200AE502D52BBE8DFEAB0F807
    Cert Status: good
    This Update: Apr 27 04:21:02 2022 GMT
    Next Update: May  4 03:36:02 2022 GMT

上面的命令直接輸出了OCSP response結果，從結果中我們很清楚的看到該網站是否支援OCSP和OCSP stapling。

總結

雖然大多數網站都不支援OCSP stapling，但是我們可以通過使用上面的命令來有效的進行判斷。

更多內容請參考 http://www.flydean.com/44-openssl-ocsp/

最通俗的解讀，最深刻的乾貨，最簡潔的教學，眾多你不知道的小技巧等你來發現！

歡迎關注我的公眾號:「程式那些事」,懂技術，更懂你！