溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
這篇文章主要介紹“Java如何使用openssl檢測網站是否支持ocsp”的相關知識，小編通過實際案例向大家展示操作過程，操作方法簡單快捷，實用性強，希望這篇“Java如何使用openssl檢測網站是否支持ocsp”文章能幫助大家解決問題。
OCSP在線證書狀態協議是為了替換CRL而提出來的。對于現代web服務器來說一般都是支持OCSP的，OCSP也是現代web服務器的標配。
但是OCSP stapling卻不是所有的web服務器都支持。但是現實工作中我們可能需要知道具體某個網站對OCSP的支持程度。
怎么判斷一個web站點是否支持OCSP stapling呢？
最簡單的方法就是去第三方網站查看網站的證書信息。比如我們之前提到過的entrust.ssllabs.com，通過輸入對應的網站信息，在
Protocol Details一節中，可以找到網站是否支持OCSP stapling的具體信息，如下所示：
可以看到這個網站是開啟了OCSP stapling的。但是事實上這個世界上的絕大部分網站是沒有開啟OCSP stapling的。
那么除了在第三方網站上查看OCSP stapling之外，還有沒有其他辦法呢？
事實上我們可以使用openssl神器輕松的做到這一點。當然前提是這個網站支持https。
接下來我們會詳細講解從獲取服務器的證書到驗證服務器是否支持OCSP stapling的一整套流程。
本文要驗證的網站是微軟的官網www.squarespace.com,這是一個支持OCSP stapling的網站。
要校驗服務器是否支持OSCP,我們首先需要獲取到這個服務器的證書，可以用openssl提供的 openssl s_client -connect來完成這個工作。
openssl s_client -connect www.squarespace.com:443
這個命令會輸出建立連接的所有內容，其中包含了要訪問網站的證書信息。
因為我們只需要網站的證書，所以需要把-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----之間的內容保存即可。
那么最終的命令如下：
openssl s_client -connect www.squarespace.com:443 | sed -n '/-----BEGIN/,/-----END/p' > ca.pem
這里我們使用一個sed -n命令從輸出中截取以-----BEGIN開頭和以-----END結尾的數據。
最終我們得到了網站的證書。
除了網站本身的證書之外，網站的證書本身是由其他的證書來簽發的,這些證書叫做intermediate certificate，我們需要獲取到整個證書鏈。
同樣使用openssl的openssl s_client -showcerts命令可以獲取所有的證書鏈：
openssl s_client -showcerts -connect www.squarespace.com:443 | sed -n '/-----BEGIN/,/-----END/p' > chain.pem
如果你打開chain.pem文件可以發現，文件里面有兩個證書，最上面的一個就是服務器本身的證書，而第二個就是用于簽名服務器證書的intermediate certificate。
如果證書中包含有OCSP responder的地址，那么可以用下面的命令來獲取：
openssl x509 -noout -ocsp_uri -in ca.pem
我們可以得到網站的ocsp responder地址是：http://ocsp.digicert.com。
還有一種方法可以獲得ocsp responder的地址：
openssl x509 -text -noout -in ca.pem
這個命令會輸出證書的所有信息，我們可以看到下面的內容：
Authority Information Access: OCSP - URI:http://ocsp.digicert.com CA Issuers - URI:http://cacerts.digicert.com/DigiCertTLSRSASHA2562020CA1-1.crt
其中OCSP - URI就是OCSP responder的地址。
有了OCSP responder的地址，我們就可以進行OCSP驗證，在這個命令中我們需要用到服務器的證書和intermediate證書。
具體的請求命令如下：
openssl ocsp -issuer chain.pem -cert ca.pem -text -url http://ocsp.digicert.com
從輸出中我們可以得到兩部分，第一部分是OCSP Request Data,也就是OCSP請求數據：
OCSP Request Data: Version: 1 (0x0) Requestor List: Certificate ID: Hash Algorithm: sha1 Issuer Name Hash: 521EE36C478119A9CB03FAB74E57E1197AF1818B Issuer Key Hash: 09262CA9DCFF639140E75867E2083F74F6EAF165 Serial Number: 120014F1EC2395D56FDCC4DCB700000014F1EC Request Extensions: OCSP Nonce: 04102873CFC7831AB971F3FDFBFCF3953EC5
從請求數據中，我們可以看到詳細的OCSP請求數據結構，包括issuer的內容和OCSP nonce。
第二部分是響應數據，很遺憾我們得到了下面的請求錯誤響應數據：
OCSP Response Data: OCSP Response Status: successful (0x0) Response Type: Basic OCSP Response Version: 1 (0x0) Responder Id: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4 Produced At: Apr 30 04:36:26 2022 GMT Responses: Certificate ID: Hash Algorithm: sha1 Issuer Name Hash: E4E395A229D3D4C1C31FF0980C0B4EC0098AABD8 Issuer Key Hash: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4 Serial Number: 0F21C13200AE502D52BBE8DFEAB0F807 Cert Status: good This Update: Apr 30 04:21:01 2022 GMT Next Update: May 7 03:36:01 2022 GMT
上面返回結果中，Cert Status: good表示的是OCSP請求成功了，這個網站是一個支持OCSP協議的網站。
后面的兩行是OCSP上次更新的時間和下次更新的時間:
This Update: Apr 30 04:21:01 2022 GMT Next Update: May 7 03:36:01 2022 GMT
說明這個網站還支持OCSP stapling。
另外，請求某些網站的OCSP url的時候可能會得到下面的異常：
Error querying OCSP responder 4346349100:error:27FFF072:OCSP routines:CRYPTO_internal:server response error:/AppleInternal/Library/BuildRoots/66382bca-8bca-11ec-aade-6613bcf0e2ee/Library/Caches/com.apple.xbs/Sources/libressl/libressl-2.8/crypto/ocsp/ocsp_ht.c:251:Code=400,Reason=Bad Request
為什么會這樣呢？
這是因為ocsp.msocsp.com這個網站不支持OCSP默認的HTTP 1.0請求，在HTTP 1.0請求中默認是沒有Host這個請求頭的。所以我們需要添加上Host請求頭，然后再執行一次即可。
以上我們實際上是將請求拆開來一步步執行的。我們還可以使用openssl一步執行任務如下：
openssl s_client -tlsextdebug -status -connect www.squarespace.com:443
從輸出中，我們可以看到下面的數據：
OCSP response: ====================================== OCSP Response Data: OCSP Response Status: successful (0x0) Response Type: Basic OCSP Response Version: 1 (0x0) Responder Id: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4 Produced At: Apr 27 04:36:26 2022 GMT Responses: Certificate ID: Hash Algorithm: sha1 Issuer Name Hash: E4E395A229D3D4C1C31FF0980C0B4EC0098AABD8 Issuer Key Hash: B76BA2EAA8AA848C79EAB4DA0F98B2C59576B9F4 Serial Number: 0F21C13200AE502D52BBE8DFEAB0F807 Cert Status: good This Update: Apr 27 04:21:02 2022 GMT Next Update: May 4 03:36:02 2022 GMT
上面的命令直接輸出了OCSP response結果，從結果中我們很清楚的看到該網站是否支持OCSP和OCSP stapling。
關于“Java如何使用openssl檢測網站是否支持ocsp”的內容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業相關的知識，可以關注億速云行業資訊頻道，小編每天都會為大家更新不同的知識點。
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
