时间戳

首页 > 解决方案 > 如何使用 Python Requests 库检查 OCSP 客户端证书吊销？

python - 如何使用 Python Requests 库检查 OCSP 客户端证书吊销？

问题描述

如何使用 Python 请求库向 EJBCA OSCP 响应者发出简单的证书吊销状态请求？

例子：

# Determine if certificate has been revoked

    ocsp_url = req_cert.extensions[2].value[0].access_location.value
    ocsp_headers = {"whatGoes: here?"}
    ocsp_body = {"What goes here?"}
    ocsp_response = requests.get(ocsp_url, ocsp_headers, ocsp_body)

    if (ocsp_response == 'revoked'):
       return func.HttpResponse(
           "Certificate is not valid (Revoked)."
       )

标签： pythonpython-requestsclient-certificatesocspejbca

解决方案

基本上它涉及以下步骤：

  • 检索主机名的相应证书
  • 如果证书中包含相应的条目，您可以通过 AuthorityInformationAccessOID.CA_ISSUERS 查询扩展，如果成功，它将为您提供指向颁发者证书的链接
  • 使用此链接检索颁发者证书
  • 同样，您可以通过 AuthorityInformationAccessOID.OCSP 获得相应的 OCSP 服务器
  • 使用有关当前证书、issuer_cert 和 ocsp 服务器的这些信息，您可以提供 OCSPRequestBuilder 以创建 OCSP 请求
  • 用于requests.get获取 OCSP 响应
  • 从 OCSP 响应中检索certificate_status

要检索主机名和端口的证书，您可以使用这个很好的答案：https ://stackoverflow.com/a/49132495 。此处记录了 Python 中的 OCSP 处理：https ://cryptography.io/en/latest/x509/ocsp.html 。

代码

如果将上述几点转换为一个独立的示例，它看起来像这样：

import base64
import ssl
import requests
from urllib.parse import urljoin

from cryptography import x509
from cryptography.hazmat.backends import default_backend
from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.hashes import SHA256
from cryptography.x509 import ocsp
from cryptography.x509.ocsp import OCSPResponseStatus
from cryptography.x509.oid import ExtensionOID, AuthorityInformationAccessOID


def get_cert_for_hostname(hostname, port):
    conn = ssl.create_connection((hostname, port))
    context = ssl.SSLContext(ssl.PROTOCOL_SSLv23)
    sock = context.wrap_socket(conn, server_hostname=hostname)
    certDER = sock.getpeercert(True)
    certPEM = ssl.DER_cert_to_PEM_cert(certDER)
    return x509.load_pem_x509_certificate(certPEM.encode('ascii'), default_backend())


def get_issuer(cert):
    aia = cert.extensions.get_extension_for_oid(ExtensionOID.AUTHORITY_INFORMATION_ACCESS).value
    issuers = [ia for ia in aia if ia.access_method == AuthorityInformationAccessOID.CA_ISSUERS]
    if not issuers:
        raise Exception(f'no issuers entry in AIA')
    return issuers[0].access_location.value


def get_ocsp_server(cert):
    aia = cert.extensions.get_extension_for_oid(ExtensionOID.AUTHORITY_INFORMATION_ACCESS).value
    ocsps = [ia for ia in aia if ia.access_method == AuthorityInformationAccessOID.OCSP]
    if not ocsps:
        raise Exception(f'no ocsp server entry in AIA')
    return ocsps[0].access_location.value


def get_issuer_cert(ca_issuer):
    issuer_response = requests.get(ca_issuer)
    if issuer_response.ok:
        issuerDER = issuer_response.content
        issuerPEM = ssl.DER_cert_to_PEM_cert(issuerDER)
        return x509.load_pem_x509_certificate(issuerPEM.encode('ascii'), default_backend())
    raise Exception(f'fetching issuer cert  failed with response status: {issuer_response.status_code}')


def get_oscp_request(ocsp_server, cert, issuer_cert):
    builder = ocsp.OCSPRequestBuilder()
    builder = builder.add_certificate(cert, issuer_cert, SHA256())
    req = builder.build()
    req_path = base64.b64encode(req.public_bytes(serialization.Encoding.DER))
    return urljoin(ocsp_server + '/', req_path.decode('ascii'))


def get_ocsp_cert_status(ocsp_server, cert, issuer_cert):
    ocsp_resp = requests.get(get_oscp_request(ocsp_server, cert, issuer_cert))
    if ocsp_resp.ok:
        ocsp_decoded = ocsp.load_der_ocsp_response(ocsp_resp.content)
        if ocsp_decoded.response_status == OCSPResponseStatus.SUCCESSFUL:
            return ocsp_decoded.certificate_status
        else:
            raise Exception(f'decoding ocsp response failed: {ocsp_decoded.response_status}')
    raise Exception(f'fetching ocsp cert status failed with response status: {ocsp_resp.status_code}')


def get_cert_status_for_host(hostname, port):
    print('   hostname:', hostname, "port:", port)
    cert = get_cert_for_hostname(hostname, port)
    ca_issuer = get_issuer(cert)
    print('   issuer ->', ca_issuer)
    issuer_cert = get_issuer_cert(ca_issuer)
    ocsp_server = get_ocsp_server(cert)
    print('   ocsp_server ->', ocsp_server)
    return get_ocsp_cert_status(ocsp_server, cert, issuer_cert)

测试 1：良好的证书

像下面这样带有良好证书的测试调用

status = get_cert_status_for_host('software7.com', 443)
print('software7.com:', status, '\n')

产生以下输出：

   hostname: software7.com port: 443
   issuer -> http://cacerts.digicert.com/EncryptionEverywhereDVTLSCA-G1.crt
   ocsp_server -> http://ocsp.digicert.com
software7.com: OCSPCertStatus.GOOD

测试 2：吊销证书

当然，您还必须对已撤销的证书进行反测试。这里revked.badssl.com 是首选：

status = get_cert_status_for_host('revoked.badssl.com', 443)
print('revoked.badssl.com:', status, '\n')

这给出了输出：

   hostname: revoked.badssl.com port: 443
   issuer -> http://cacerts.digicert.com/DigiCertSHA2SecureServerCA.crt
   ocsp_server -> http://ocsp.digicert.com
revoked.badssl.com: OCSPCertStatus.REVOKED

AIA 检索发行人证书

证书关系的典型场景如下所示：

证书关系

服务器在 TLS 握手期间提供服务器证书和一个或多个中间证书。故意使用“通常”一词：某些服务器被配置为不提供中间证书。然后浏览器使用 AIA 获取来构建认证链。

证书颁发机构信息访问扩展中最多可以存在两个条目：用于下载颁发者证书的条目和到 OCSP 服务器的链接。

这些条目也可能丢失，但检查 100 个最受欢迎的服务器证书的简短测试脚本表明，这些条目通常包含在公共证书颁发机构颁发的证书中。

CA Issuers 条目也可能丢失，但是当有关 OCSP 服务器的信息可用时，可以使用自签名证书使用 OpenSSL 对其进行测试：

缺少 CA 颁发者条目

在这种情况下，您必须从 TLS 握手链中确定颁发者证书，它是链中服务器证书之后直接出现的证书，另请参见上图。

只是为了完整起见：有时会出现另一种情况，尤其是与自签名证书一起使用时：如果不使用中间证书，则必须使用相应的根证书（例如在本地信任存储中可用）作为颁发者证书.

推荐阅读