Apache 客户端身份验证 OCSP 响应程序问题

Question

我在 Windows 上设置 Apache 2.4.29 以使用有效的 OCSP 响应程序进行客户端身份验证时遇到问题。当 OCSP 响应程序关闭时，客户端身份验证工作正常。当我手动使用 OpenSSL 向 OCSP 响应程序发出请求时，我还能够验证我的客户端证书状态为“良好”。这只是在 Apache 中使用它时的一个问题...

证书颁发机构(我作为我自己的 CA):

• 根 CA > 中间 CA

• 中间 CA > 客户端证书 1

• 中间 CA > OCSP 签名证书

证书文件

• ca-chain.cert.pem(根 CA 和中间 CA 证书)

• intermediate.cert.pem(中级 CA 证书)

• ocsp.mydomain.com.cert.pem(OCSP 签名证书)

• client1.cert.pem(客户端证书)

Windows 设置

• 根 CA 和中间 CA 证书连同它们的私钥(导入为 .pfx)分别导入“受信任的根证书颁发机构”和“中间证书颁发机构”存储
• 客户端证书连同其私钥(导入为 .pfx)一起导入“个人”证书存储区

OCSP 响应服务器

openssl ocsp -port ocsp.mydomain.com:2560 -text -sha256 \
    -index intermediate/index.txt \
    -CA intermediate/certs/ca-chain.cert.pem \
    -rkey intermediate/private/ocsp.mydomain.com.key.pem \
    -rsigner intermediate/certs/ocsp.mydomain.com.cert.pem

手动 OCSP 请求(只是为了确认所有设置都在 Apache 之外)

• 要求

  openssl ocsp -CAfile intermediate/certs/ca-chain.cert.pem \
      -url http://ocsp.mydomain.com:2560 -resp_text \
      -issuer intermediate/certs/intermediate.cert.pem \
      -cert intermediate/certs/client1.cert.pem
  

• 响应(...代表一些排除的详细输出，实际上不在响应中)

  ...
  Certificate ID:
      ...
      Issuer Key Hash: 6FBE86C0DE4500EE4945D1ECC3E41F9DACF5CEEC
      ...
  ...
  Response verify OK
  intermediate/certs/client1.cert.pem: good
  

• 上面的“Issuer Key Hash”与我的“Personal”证书存储中的客户端证书“Authority Key Identifier”相匹配，一切看起来都不错

Apache 设置

SSLVerifyClient require
SSLVerifyDepth 10
SSLOCSPEnable on
SSLOCSPDefaultResponder "http://ocsp.mydomain.com:2560"
SSLCACertificateFile "${SRVROOT}/conf/ssl/ca-chain.cert.pem"

Apache 错误

库错误:OCSP_basic_verify:root ca 不可信(日志信息如下)

    1973: connecting to OCSP responder 'ocsp.mydomain.com:2560'
    1975: sending request to OCSP responder
    AH02275: Certificate Verification, depth 2, CRL checking mode: none (0) [subject: CN=Generic Code Root CA,O=Generic Code,ST=New York,C=US / issuer: CN=Generic Code Root CA,O=Generic Code,ST=New York,C=US / serial: B0992B306BCDD3BD / notbefore: Mar 10 21:09:10 2018 GMT / notafter: Mar  5 21:09:10 2038 GMT]
    AH02275: Certificate Verification, depth 1, CRL checking mode: none (0) [subject: CN=Generic Code Intermediate CA,O=Generic Code,ST=New York,C=US / issuer: CN=Generic Code Root CA,O=Generic Code,ST=New York,C=US / serial: 1000 / notbefore: Mar 10 21:20:32 2018 GMT / notafter: Mar  7 21:20:32 2028 GMT]
    _util_ocsp.c(96):1973: connecting to OCSP responder 'ocsp.mydomain.com:2560'
    _util_ocsp.c(124):1975: sending request to OCSP responder
    _util_ocsp.c(234): 1981: OCSP response header: Content-type: application/ocsp-response
    _util_ocsp.c(234): 1981: OCSP response header: Content-Length: 2270
    _util_ocsp.c(282): 1987: OCSP response: got 2270 bytes, 2270 total
    1925: failed to verify the OCSP response
    Library Error: error:27069070:OCSP routines:OCSP_basic_verify:root ca not trusted
    AH02276: Certificate Verification: Error (50): application verification failure [subject: CN=Generic Code Intermediate CA,O=Generic Code,ST=New York,C=US / issuer: CN=Generic Code Root CA,O=Generic Code,ST=New York,C=US / serial: 1000 / notbefore: Mar 10 21:20:32 2018 GMT / notafter: Mar  7 21:20:32 2028 GMT]
    2008: library error 1 in handshake (server localhost:443)
    Library Error: error:14089086:SSL routines:ssl3_get_client_certificate:certificate verify failed
    1998: Connection closed to child 38 with abortive shutdown (server localhost:443)

OCSP Responder服务器在Apache命中时的错误响应

• 响应(...代表一些排除的详细输出，实际上不在响应中)

  ...
  Certificate ID:
      ...
      Issuer Key Hash: 79D4440D1471385397B194EF1038CEEEEFBBAC24
      ...
  Cert Status: unknown
  ...
  

• 上面的“Issuer Key Hash”与我的“Trusted Root Certificate Authorities”证书库中的 Root CA 证书“Authority Key Identifier”匹配，WTF？为什么？

谁能看出我所做的有什么问题或知道为什么这不起作用？

Answer 1

我成功了。

• 使用 OCSP 信息重新颁发中间 CA
• 为Intermediate CA上的OCSP信息设置第二个OCSP responder，第二个OCSP responder signing certificate是由Root CA签署的
• 重新运行测试，现在一切正常

看起来 mod_ssl 必须验证整个证书链而不是在客户端证书本身停止。我希望它是可配置的，但目前还不能...