openssl - OpenSSL 现在是否会自动处理 CRL(证书吊销列表)？

Question

我正在使用的引用书(Network Security with OpenSSL，由 Viega、Messier 和 Chandra 撰写)第 133 页指出:

[...] an application must load CRL files in order for the internal verification process to ensure each certificate it verifies is not revoked. Unfortunately, OpenSSL's CRL functionality is incomplete in version 0.9.6. The features necessary to utilize CRL information will be complete in new versions starting with 0.9.7. [...]

我在 OpenSSL 文档中找不到任何关于它的可用信息(这并不奇怪)。在我看来，检查 CRL 应该是 OpenSSL 验证过程的一个自动部分。 CRL 现在是自动处理的，还是我仍然必须通过书中列出的所有垃圾来费力地验证证书没有被吊销？

一个密切相关的问题: SSL_CTX_set_default_verify_paths函数也加载 CRL 路径？

Answer 1

SSL_CTX_set_default_verify_paths()只加载 CA 路径，而不是 CRL。

我相信(虽然我自己还没有真正实现过)正确的过程是:

/* Load CRLs into the `X509_STORE` */

X509_STORE *x509_store = SSL_CTX_get_cert_store(ctx);
X509_STORE_add_crl(x509_store, crl);

/* Enable CRL checking */
X509_VERIFY_PARAM *param = X509_VERIFY_PARAM_new();
X509_VERIFY_PARAM_set_flags(param, X509_V_FLAG_CRL_CHECK);
SSL_CTX_set1_param(ctx, param);
X509_VERIFY_PARAM_free(param);