Dotaz: OCSP Responder

[zipi]

Krásný večer, používám OCSP ve verzi 1.9.0 a je pomalu největší čas provést upgrade na novější verzi. Jelikož rpm pro CentOS 8 neexistují ani src. Musím jít cestou kompilace, ale při kompilaci narážím na problém s balíkem "configure: error: **** ERROR: Can not find libpki-config (libpki-config)". Co jsem zjistil, tak to má problém s novější verzí openssl používám 1.1.1K. Jelikož kompilacím balíčku se snažím vyhnout, zde nebude jiná cesta pravděpodobně .. Je možné při komplici použít jinou verzi openssl .? Nebo danou verzi zakompilovat do daného balíku .? Děkuji za info.

Odpovědi

[tttttttttttttt]

Nestačí ti OCSP responder zabudovaný v openssl?

[zipi]

Ten právě řeším než ho složité instalovat .. Pomocí příkazu si odešlu data na ocsp
openssl ocsp -sha1 -issuer ca.cer -cert aa.crt -text -CAfile aa.crt -no_nonce -url http://ocsp.xxx.local.

Dostávam výsledek - OCSP Response Status: successful (0x0) | Cert Status: unknown

openssl ocsp -index aaa.txt -url http://certaut/revoke.crl -CA ca.pem -rsigner ocsp-xxx-local.pem -rkey ocsp-xxx-local.pem -port 8080 -text -out log.txt

[tttttttttttttt]

Přijde mi divné -url http://certaut/revoke.crl, má tam být URL responderu, ne CRL. Ale nemyslím, že bude chyba v tom. Moje konfigurace vypadá takto, certifikáty generuju taky pomocí openssl.

$ openssl ocsp -port 2560 -index index.txt -rsigner certs/ocsp.example.com.cert.pem -rkey private/ocsp.example.com.key.nopass.pem -CA certs/intermediate.pem
$ openssl ocsp -issuer  certs/intermediate.cert.pem  -cert certs/mail.example.com.cert.pem -text -url http://localhost:2560
Response verify OK
certs/mail.example.com.cert.pem: good
	This Update: Nov 29 22:19:39 2022 GMT

[zipi]

Tak někde musíš mít seznam revoke certifikátu ne .? Certifikáty mám generované různě proto se musím odkazovat na crl, které mi jasně řekne jestli je cert OK či NE.

[ttttt]

Seznam certifikátů a jejich status mám v index.txt. Z manuálové stránky:

OCSP Client Options
       -url responder_url
           Specify the responder URL. Both HTTP and HTTPS (SSL/TLS) URLs can be specified.  The optional userinfo and fragment
           components are ignored.  Any given query component is handled as part of the path component.

Pro server to zřejmě nic nedělá, určitě nenačítá CRL.

[zipi]

v jakem formatu to mas v tom indexu .? zkoušel sem tam vložit serial certu a stejně to projde :(

[tttttttttttttt]

R	200515093329Z	200519073955Z	1025	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...
E	210221114034Z		1027	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...
R	210303225050Z	200519073955Z	1028	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...
R	210529074839Z	200519083136Z	1029	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...
R	210712063502Z	211003064517Z	102B	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...
R	210713023844Z	211003064517Z	102C	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...
V	230625080212Z		102D	unknown	/C=CZ/ST=Czech republic/L=Prague/O=.../CN=...

V adresáři newcerts mám certifikáty, které openssl vygenerovalo, pod názvy 1025.pem atd., myslím, že se to taky používá.

[Max]

Poslední verze (3.1.3) je na githubu: openca-ocspd - releases.
libpki je také jejich balíček, který je třeba zkompilovat a nainstalovat jako první. Opět github: libpki - releases
Otázkou tedy je, jak jsi postupoval, jakou verzi jsi zkoušel zkompilovat atd.?
Zdar Max

[X]

Since v2.0.0+ , the OCSPD server requires the LibPKI package to be installed.