未加星标

Nginx 启用 OCSP Stapling的配置

字体大小 | |
[运维安全 所属分类 运维安全 | 发布者 店小二05 | 时间 | 作者 红领巾 ] 0人收藏点击收藏

这里,我将介绍什么是 OCSP Stapling 以及为什么要开启它。

在线证书状态协议(Online Certificate Status Protocol),简称 OCSP,是一个用于获取 X.509 数字证书撤销状态的网际协议,在 RFC 6960 中定义。OCSP 用于检验证书合法性,查询服务一般由证书所属 CA 提供。OCSP 查询的本质,是一次完整的 HTTP 请求加响应的过程,这中间涵括的 DNS 查询、建立 TCP 连接、Web 端工作等步骤,都将耗费更多时间,使得建立 TLS 花费更多时长。

而这时,OCSP Stapling 出现了。经由 OCSP Stapling(OCSP 封套),Web 端将主动获取 OCSP 查询结果,并随证书一起发送给客户端,以此让客户端跳过自己去寻求验证的过程,提高 TLS 握手效率。

生成 OCSP Stapling 文件

经过以下步骤生成所需的用于 OCSP Stapling 验证的文件

首先,需要准备三份证书:

站点证书(website.pem)+ 根证书(root.pem)+ 中间证书(intermediate.pem)

中间证书和根证书,需要根据你的证书的 CA,去下载对应的证书

以下列出了 Let's Encrypt 的中间证书和根证书的下载地址:

根证书:
DST Root CA X3 https://ssl-tools.net/certificates/dac9024f54d8f6df94935fb1732638ca6ad77c13.pem
ISRG Root X1 https://letsencrypt.org/certs/isrgrootx1.pem
中间证书:
Let's Encrypt Authority X1 https://letsencrypt.org/certs/lets-encrypt-x1-cross-signed.pem
Let's Encrypt Authority X2 https://letsencrypt.org/certs/lets-encrypt-x2-cross-signed.pem
Let's Encrypt Authority X3 https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem
Let's Encrypt Authority X4 https://letsencrypt.org/certs/lets-encrypt-x4-cross-signed.pem

这里以 DST Root CA X3 根证书 + Let's Encrypt Authority X3 中间证书 为例(现在 Let's Encrypt 签发的证书基本都是这样的组合):

# 下载根证书和中间证书
wget -O root.pem https://ssl-tools.net/certificates/dac9024f54d8f6df94935fb1732638ca6ad77c13.pem
wget -O intermediate.pem https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem
# 生成 OCSP Stapling 验证文件
# 注意,中间证书在上、根证书在下
cat cat intermediate.pem > chained.pem
cat root.pem >> chained.pem

这样,生成的 chained.pem 就是所需的 OCSP Stapling 验证文件。

OCSP Stapling Response

openssl x509 -in website.pem -noout -ocsp_uri
使用这个命令后,返回你的证书对应的 OCSP 服务地址

例如,Let's Encrypt 现在的 OCSP 服务地址是 http://ocsp.int-x3.letsencrypt.org/

以 Let's Encrypt 为例,获取站点证书的 OCSP Response

openssl ocsp -no_nonce \
-issuer intermediate.pem \
-CAfile chained.pem \
-VAfile chained.pem \
-cert website.pem \
-url http://ocsp.int-x3.letsencrypt.org \
-text

若没有错误,会返回如下:

Response verify OK
website.pem: good
This Update: Oct 24 00:00:41 2017 GMT
Next Update: Oct 31 00:00:41 2017 GMT

Nginx 启用 OCSP Stapling

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate ~/chained.pem;
resolver 208.67.222.222 valid=300s;
resolver_timeout 5s;

然后重启 Nginx,就成功启用 OCSP Stapling 了

OCSP Stapling Status

复制代码 代码如下:

openssl s_client -connect sometimesnaive.org:443 -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response"

若站点已成功启用 OCSP Stapling,会返回以下

OCSP response:
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response

若返回这个,明显就是失败了

OCSP response: no response sent
也可以访问 ssllabs 进行 SSL 测试,其中也能看到 OCSP Stapling 开启与否的报告。

以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持脚本之家。



本文运维安全相关术语:linux服务器代维 linux服务器搭建 运维管理 运维工程师 企业安全文章 企业安全管理 cf安全系统检测到游戏数据异常

主题: NginxGM
tags: OCSP,pem,证书,Stapling,org,Encrypt,https,letsencrypt,Let,chained,certs,lets,Response,cross,encrypt
分页:12
转载请注明
本文标题:Nginx 启用 OCSP Stapling的配置
本站链接:http://www.codesec.net/view/575006.html
分享请点击:


1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责;
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性,不作出任何保证或承若;
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
技术大类 技术大类 | 运维安全 | 评论(0) | 阅读(14)