Параметр OCSP#

Последовательность параметров ocsp предназначена для настройки валидации OCSP цепочки сертификатов клиента.

• enabled

  Обязательный параметр. Включает OCSP проверку цепочки клиентских сертификатов.

  Тип параметра: текстовое значение.

  • „on“;

  • „off“.

• depth

  Обязательный параметр. Задает глубину проверки сертификатов.

  Тип параметра: целочисленное значение.

  Min: 1.

• mode

  Задает режим проверки.

  Тип параметра: текстовое значение.

  • „strict“ - запрос будет заблокирован в случае неуспешной проверки сертификата;

  • „flexible“ - запрос не будет заблокирован.

  По умолчанию:

  mode: strict
  

• cache

  Задает имя и размер кэша, который хранит статус клиентского сертификата для OCSP валидации. Кэш распределяется между всеми рабочими процессами.

  Тип параметра: последовательность параметров и их значений.

  • name

    Обязательный параметр.

    Тип параметра: текстовое значение.

  • size

    Обязательный параметр.

    Тип параметра: текстовое значение.

  • lifetime

    Определяет время жизни кэша.

    Тип параметра: текстовое значение.

    По умолчанию:

    lifetime: 3600
    

• use_cert_responder

  Определяет, использовать ли responder из сертификата (если указан).

  Тип параметра:

  • true;

  • false.

  По умолчанию:

  use_cert_responder: false
  

• responder_timeout

  Задает таймаут responder.

  Тип параметра: текстовое значение.

  По умолчанию:

  responder_timeout: 60000ms
  

• responders

  В качестве ключа определяется DN сертификата, подписавшего сертификат клиента, обращающегося на SOWA. В качестве значений используется массив URL-адресов OCSP responder, указанных в расширении сертификата “Authority Information Access” для проверки клиентских сертификатов для данного CA. Поддерживаются только http:// OCSP responder.

  Значение должно быть уникальным.

  Тип параметра: последовательность текстовых значений.

Пример:

ocsp:
  enabled: on
  cache:
    name: ocsp_cache
    size: 1024k
    lifetime: 1m
  mode: flexible
  depth: 100
  use_cert_responder: True 
  responder_timeout: 10000ms
  responders:
    "/O=SOLUTION.SBT/CN=Certificate Authority": # issuer DN от клиентского сертификата
      - "http://responder-host1/ca/ocsp"
      - "http://responder-host2/ca/ocsp"
      - "http://responder-host3/ca/ocsp"
    "CA 2": # issuer DN от клиентского сертификата
      - "http://127.0.0.1:111/ca"

Заполняемые переменные#

• $ssl_ocsp_status - статус проверки;

• $ssl_ocsp_invalid_crt_index - индекс сертификата, на котором проверка оказалась неуспешной;

• $ssl_ocsp_invalid_crt_pem - сертификат, на котором проверка оказалась неуспешной;

• $ssl_ocsp_crt_revocation_reason - причина невалидности сертификата. Может иметь следующие значения:

  • timeout - таймаут при попытке опроса респондеров;

  • no responders configured for this ca - отсутствие заданных респондеров в конфигурации для данного CA;

  • invalid response - ошибка парсинга ответа от респондера;

  • certificate revoked - сертификат был отозван;

  • unknown reason - неизвестная причина;

  • request failed - ошибка отправки запроса;

  • connection refused.