модуль OpenSSL::OCSP

OpenSSL::OCSP реализует запросы и ответы протокола Online Certificate Status Protocol.

Создание и отправка запроса OCSP требует сертификата субъекта, содержащего URL OCSP в расширении authorityInfoAccess, и сертификата издателя для сертификата субъекта. Сначала загрузите сертификаты издателя и субъекта:

subject = OpenSSL::X509::Certificate.new subject_pem
issuer  = OpenSSL::X509::Certificate.new issuer_pem

Для создания запроса нам необходимо создать идентификатор сертификата для сертификата субъекта, чтобы CA знал, о каком сертификате мы спрашиваем:

digest = OpenSSL::Digest.new('SHA1')
certificate_id =
  OpenSSL::OCSP::CertificateId.new subject, issuer, digest

Затем создайте запрос и добавьте в него идентификатор сертификата:

request = OpenSSL::OCSP::Request.new
request.add_certid certificate_id

Добавление nonce в запрос защищает от повторных атак, но не все CA обрабатывают nonce.

request.add_nonce

Для отправки запроса CA для проверки нам необходимо извлечь OCSP URI из сертификата субъекта:

ocsp_uris = subject.ocsp_uris

require 'uri'

ocsp_uri = URI ocsp_uris[0]

Для отправки запроса мы отправим POST-запрос по OCSP URI (согласно RFC 2560). Обратите внимание, что в этом примере мы обрабатываем только HTTP-запросы и не обрабатываем перенаправления, поэтому это недостаточно для серьезного использования.

require 'net/http'

http_response =
  Net::HTTP.start ocsp_uri.hostname, ocsp.port do |http|
    http.post ocsp_uri.path, request.to_der,
              'content-type' => 'application/ocsp-request'
end

response = OpenSSL::OCSP::Response.new http_response.body
response_basic = response.basic

Сначала проверим, имеет ли ответ действительную подпись. Без действительной подписи мы не можем ему доверять. Если здесь произойдет ошибка, возможно, вам не хватает системного хранилища сертификатов или промежуточных сертификатов.

store = OpenSSL::X509::Store.new
store.set_default_paths

unless response_basic.verify [], store then
  raise 'response is not signed by a trusted certificate'
end

Ответ содержит информацию о статусе (успех/ошибка). Мы можем отобразить статус как строку:

puts response.status_string #=> successful

Далее нам нужна информация о деталях ответа, чтобы определить, соответствует ли ответ нашему запросу. Сначала мы проверим nonce. Опять же, не все CA поддерживают nonce. См. Request#check_nonce для значений возвращаемых значений.

p request.check_nonce basic_response #=> value from -1 to 3

Затем извлеките информацию о статусе сертификата из основного ответа.

single_response = basic_response.find_response(certificate_id)

unless single_response
  raise 'basic_response does not have the status for the certificiate'
end

Затем проверьте действительность. Статус, выданный в будущем, должен быть отклонен.

unless single_response.check_validity
  raise 'this_update is in the future or next_update time has passed'
end

case single_response.cert_status
when OpenSSL::OCSP::V_CERTSTATUS_GOOD
  puts 'certificate is still valid'
when OpenSSL::OCSP::V_CERTSTATUS_REVOKED
  puts "certificate has been revoked at #{single_response.revocation_time}"
when OpenSSL::OCSP::V_CERTSTATUS_UNKNOWN
  puts 'responder doesn't know about the certificate'
end