модуль OpenSSL::OCSP

OpenSSL::OCSP реализует запросы и ответы протокола Online Certificate Status Protocol.

Для создания и отправки запроса OCSP необходим сертификат субъекта, содержащий URL OCSP в расширении authorityInfoAccess, и сертификат издателя для сертификата субъекта. Сначала загрузите сертификаты издателя и субъекта:

subject = OpenSSL::X509::Certificate.new subject_pem
issuer  = OpenSSL::X509::Certificate.new issuer_pem

Для создания запроса нам нужно создать идентификатор сертификата субъекта, чтобы ЦС знал, о каком сертификате мы спрашиваем:

digest = OpenSSL::Digest::SHA1.new
certificate_id =
  OpenSSL::OCSP::CertificateId.new subject, issuer, digest

Затем создайте запрос и добавьте в него идентификатор сертификата:

request = OpenSSL::OCSP::Request.new
request.add_certid certificate_id

Добавление nonce в запрос защищает от атак повторного воспроизведения, но не все ЦС обрабатывают nonce.

request.add_nonce

Для отправки запроса ЦС на проверку нам нужно извлечь OCSP URI из сертификата субъекта:

authority_info_access = subject.extensions.find do |extension|
  extension.oid == 'authorityInfoAccess'
end

descriptions = authority_info_access.value.split "\n"
ocsp = descriptions.find do |description|
  description.start_with? 'OCSP'
end

require 'uri'

ocsp_uri = URI ocsp[/URI:(.*)/, 1]

Для отправки запроса мы отправим POST-запрос по OCSP URI (согласно RFC 2560). Обратите внимание, что в этом примере мы обрабатываем только HTTP-запросы и не обрабатываем переадресации, поэтому это недостаточно для серьезного использования.

require 'net/http'

http_response =
  Net::HTTP.start ocsp_uri.hostname, ocsp.port do |http|
    http.post ocsp_uri.path, request.to_der,
              'content-type' => 'application/ocsp-request'
end

response = OpenSSL::OCSP::Response.new http_response.body
response_basic = response.basic

Сначала проверим, имеет ли ответ действительную подпись. Без действительной подписи мы не можем ему доверять. Если здесь произошла ошибка, возможно, отсутствует хранилище системных сертификатов или промежуточные сертификаты.

store = OpenSSL::X509::Store.new
store.set_default_paths

unless response.verify [], store then
  raise 'response is not signed by a trusted certificate'
end

Ответ содержит информацию о статусе (успех/неудача). Мы можем отобразить статус как строку:

puts response.status_string #=> successful

Далее нам нужна информация о деталях ответа, чтобы определить, соответствует ли ответ нашему запросу. Сначала проверим nonce. Опять же, не все ЦС поддерживают nonce. См. OpenSSL::OCSP::Request#check_nonce для значений возвращаемых значений.

p request.check_nonce basic_response #=> value from -1 to 3

Затем извлеките информацию о статусе из основного ответа. (В запросе можно проверить несколько сертификатов, но в этом примере был представлен только один.)

response_certificate_id, status, reason, revocation_time,
  this_update, next_update, extensions = basic_response.status

Затем проверим различные поля.

unless response_certificate_id == certificate_id then
  raise 'certificate id mismatch'
end

now = Time.now

if this_update > now then
  raise 'update date is in the future'
end

if now > next_update then
  raise 'next update time has passed'
end