OPENSSL-OCSP(1ssl) OpenSSL OPENSSL-OCSP(1ssl)

الاسم

openssl-ocsp - أمر بروتوكول حالة الشهادة عبر الإنترنت (OCSP)

موجز

عميل OCSP

openssl ocsp [-help] [-out ملف] [-issuer ملف] [-cert ملف] [-no_certs] [-serial n] [-signer ملف] [-signkey ملف] [-sign_other ملف] [-nonce] [-no_nonce] [-req_text] [-resp_text] [-text] [-reqout اسم_الملف] [-respout اسم_الملف] [-reqin اسم_الملف] [-respin اسم_الملف] [-url رابط] [-host المضيف:المنفذ] [-path مسار] [-proxy [http[s]://][معلومات_المستخدم@]المضيف[:المنفذ][/المسار][?استعلام][#جزء]] [-no_proxy عناوين] [-header] [-timeout ثواني] [-VAfile ملف] [-validity_period n] [-status_age n] [-noverify] [-verify_other ملف] [-trust_other] [-no_intern] [-no_signature_verify] [-no_cert_verify] [-no_chain] [-no_cert_checks] [-no_explicit] [-port رقم] [-ignore_err]

خادم OCSP

openssl ocsp [-index ملف] [-CA ملف] [-rsigner ملف] [-rkey ملف] [-passin معامل] [-rother ملف] [-rsigopt nm:v] [-rmd خلاصة] [-badsig] [-resp_no_certs] [-nmin n] [-ndays n] [-resp_key_id] [-nrequest n] [-multi عدد_العمليات] [-rcid خلاصة] [-خلاصة] [-CAfile ملف] [-no-CAfile] [-CApath دليل] [-no-CApath] [-CAstore uri] [-no-CAstore] [-allow_proxy_certs] [-attime طابع_زمني] [-no_check_time] [-check_ss_sig] [-crl_check] [-crl_check_all] [-explicit_policy] [-extended_crl] [-ignore_critical] [-inhibit_any] [-inhibit_map] [-partial_chain] [-policy معامل] [-policy_check] [-policy_print] [-purpose غرض] [-suiteB_128] [-suiteB_128_only] [-suiteB_192] [-trusted_first] [-no_alt_chains] [-use_deltas] [-auth_level رقم] [-verify_depth رقم] [-verify_email بريد] [-verify_hostname اسم_المضيف] [-verify_ip ip] [-verify_name اسم] [-x509_strict] [-issuer_checks] [-provider اسم] [-provider-path مسار] [-provparam [الاسم:]مفتاح=قيمة] [-propquery propq]

الوصف

يسمح بروتوكول حالة الشهادة عبر الإنترنت (OCSP) للتطبيقات بتحديد حالة (إبطال) شهادة محددة (RFC 2560).

يؤدي هذا الأمر العديد من مهام OCSP الشائعة. يمكن استخدامه لطباعة الطلبات والاستجابات، وإنشاء الطلبات وإرسال الاستعلامات إلى مستجيب OCSP والتصرف كخادم OCSP مصغر.

الخيارات

يعمل هذا الأمر كعميل أو كخادم. توصف الخيارات أدناه، مقسمة إلى هذين الوضعين.

خيارات عميل OCSP

اطبع رسالة الاستخدام.
حدد اسم ملف المخرجات، المبدئي هو المخرج القياسي.
يحدد هذا شهادة المصدر الحالية. يمكن أن يكون المدخل بتنسيق PEM أو DER أو PKCS#12.

يمكن استخدام هذا الخيار عدة مرات. يجب أن يأتي هذا الخيار قبل أي خيارات -cert.

أضف شهادة اسم_الملف إلى الطلب. يمكن أن يكون المدخل بتنسيق PEM أو DER أو PKCS#12.

يمكن استخدام هذا الخيار عدة مرات. تُؤخذ شهادة المصدر من خيار -issuer السابق، أو يحدث خطأ إذا لم تُحدد شهادة مصدر.

لا تدرج أي شهادات في الطلب الموقع.
نفس خيار -cert باستثناء أن الشهادة ذات الرقم التسلسلي رقم تُضاف إلى الطلب. يُفسر الرقم التسلسلي كعدد صحيح عشري ما لم يسبقه "0x". يمكن أيضًا تحديد الأعداد الصحيحة السالبة بسبق القيمة بعلامة "-".
وقع طلب OCSP باستخدام الشهادة المحددة في خيار -signer والمفتاح الخاص المحدد بخيار -signkey. يمكن أن يكون المدخل بتنسيق PEM أو DER أو PKCS#12.

إذا لم يتوفر خيار -signkey، فسيُقرأ المفتاح الخاص من نفس ملف الشهادة. إذا لم يُحدد أي من الخيارين، فلن يُوقع طلب OCSP.

شهادات إضافية لتضمينها في الطلب الموقع. يمكن أن يكون المدخل بتنسيق PEM أو DER أو PKCS#12.
أضف ملحق OCSP nonce إلى الطلب أو عطل إضافة OCSP nonce. عادةً إذا أُدخل طلب OCSP باستخدام خيار -reqin فلا يُضاف أي nonce: استخدام خيار -nonce سيفرض إضافة nonce. إذا أُنشئ طلب OCSP (باستخدام خياري -cert و -serial) فسيُضاف nonce آليًا، وتحديد -no_nonce يتجاوز ذلك.
اطبع صيغة النص لطلب OCSP، أو الاستجابة، أو كليهما على التوالي.
اكتب طلب أو استجابة OCSP المرمزة بـ DER في اسم_الملف. يمكن أن يكون اسم ملف المخرجات هو نفسه اسم ملف المدخلات، مما يؤدي إلى استبدال محتويات الملف. لاحظ أن عمليات إدخال/إخراج الملف ليست ذرية. يُبتر ملف المخرجات ثم يُكتب.
اقرأ ملف طلب أو استجابة OCSP من ملف. تُتجاهل هذه الخيارات إذا كان إنشاء طلب أو استجابة OCSP ضمنيًا بواسطة خيارات أخرى (على سبيل المثال مع خيارات -serial و -cert و -host).
حدد مضيف المستجيب واختياريًا المنفذ والمسار عبر رابط URL. يمكن تحديد كل من روابط HTTP و HTTPS (SSL/TLS). تُتجاهل مكونات معلومات المستخدم والجزئية الاختيارية. يُعامل أي مكون استعلام معطى كجزء من مكون المسار. للتفاصيل، انظر خياري -host و -path الموصوفين تالياً.
إذا وجد خيار -host، فسيُرسل طلب OCSP إلى المضيف المضيف على المنفذ المنفذ. قد يكون المضيف اسم نطاق أو عنوان IP (v4 أو v6)، مثل 127.0.0.1 أو "[::1]" للمضيف المحلي. إذا كان عنوان IPv6، فيجب وضعه بين "[" و "]".

يحدد خيار -path اسم مسار HTTP لاستخدامه أو "/" مبدئيًا. هذا يعادل تحديد -url مع المخطط http:// و المضيف و المنفذ و اسم_المسار الاختياري المعطى.

خادم الوكيل HTTP(S) المستخدم للوصول إلى خادم OCSP ما لم ينطبق -no_proxy، انظر أدناه. إذا كانت سلسلة المضيف عنوان IPv6، فيجب وضعها بين "[" و "]". المنفذ المبدئي للوكيل هو 80 أو 443 إذا كان المخطط هو "https"؛ وبصرف النظر عن ذلك، تُتجاهل البادئة الاختيارية "http://" أو "https://"، بالإضافة إلى أي معلومات مستخدم، أو مسار، أو استعلام، أو مكونات مجزأة. القيمة المبدئية هي متغير البيئة "http_proxy" إذا ضُبط، وإلا "HTTP_PROXY" في حال عدم استخدام TLS، وإلا "https_proxy" إذا ضُبط، وإلا "HTTPS_PROXY".
قائمة بعناوين IP و/أو أسماء DNS للخوادم التي لا يجب استخدام الوكيل (proxy) HTTP(S) لها، مفصولة بفواصل و/أو مسافات بيضاء (حيث في الحالة الأخيرة يجب إحاطة المعامل بالكامل بـ "..."). المبدئي هو من متغير البيئة "no_proxy" إذا كان معيناً، وإلا "NO_PROXY".
يضيف رأس الاسم بـ القيمة المحددة إلى طلب OCSP الذي أُرسل إلى المستجيب. قد يكرر هذا.
مهلة الاتصال بمستجيب OCSP بالثواني. في أنظمة POSIX، عند التشغيل كمستجيب OCSP، يحد هذا الخيار أيضًا من الوقت الذي يكون فيه المستجيب مستعدًا لانتظار طلب العميل. يُقاس هذا الوقت من وقت قبول المستجيب للاتصال حتى استلام الطلب الكامل.
ملف أو URI يحتوي على شهادات إضافية للبحث فيها عند محاولة تحديد موقع شهادة توقيع استجابة OCSP. يحذف بعض المستجيبين شهادة الموقع الفعلي من الاستجابة: يمكن استخدام هذا الخيار لتوفير الشهادة اللازمة في مثل هذه الحالات. يمكن أن يكون المدخل بتنسيق PEM أو DER أو PKCS#12.
يجب الوثوق بالشهادات المحددة بواسطة خيار -verify_other صراحةً ولن تُجرى أي فحوصات إضافية عليها. هذا مفيد عندما لا تتوفر سلسلة شهادات المستجيب الكاملة أو عندما لا يكون الوثوق في سلطة التصديق (CA) الجذرية مناسبًا.
ملف أو URI يحتوي على شهادات مستجيب موثوقة صراحةً. يعادل خياري -verify_other و -trust_other. يمكن أن يكون المدخل بتنسيق PEM أو DER أو PKCS#12.
لا تحاول الاستيثاق من توقيع استجابة OCSP أو قيم nonce. سيُستخدم هذا الخيار عادةً فقط للتنقيح لأنه يعطل كل عمليات الاستيثاق من شهادة المستجيبين.
تجاهل الشهادات الواردة في استجابة OCSP عند البحث عن شهادة الموقعين. مع هذا الخيار، يجب تحديد شهادة الموقعين إما بخياري -verify_other أو -VAfile.
لا تفحص التوقيع على استجابة OCSP. بما أن هذا الخيار يتسامح مع التوقيعات غير الصالحة على استجابات OCSP، فسيُستخدم عادةً لأغراض الاختبار فقط.
لا تتحقق من شهادة موقعي استجابة OCSP على الإطلاق. وبما أن هذا الخيار يسمح بتوقيع استجابة OCSP بواسطة أي شهادة، فيجب استخدامه لأغراض الاختبار فقط.
لا تستخدم الشهادات الموجودة في الاستجابة كشهادات CA إضافية غير موثوقة.
لا تثق صراحةً بجهة التصديق الجذرية (root CA) إذا كانت مضبوطة لتكون موثوقة لتوقيع OCSP.
لا تُجرِ أي فحوصات إضافية على شهادة موقعي استجابة OCSP. أي لا تُجرِ أي فحوصات لمعرفة ما إذا كانت شهادة الموقع مفوضة لتقديم معلومات الحالة اللازمة: ونتيجة لذلك، يجب استخدام هذا الخيار لأغراض الاختبار فقط.
تحدد هذه الخيارات نطاق الأوقات، بالثواني، التي سيُتسامح معها في استجابة OCSP. تتضمن كل استجابة لحالة الشهادة وقت notBefore ووقت notAfter اختياري. يجب أن يقع الوقت الحالي بين هاتين القيمتين، ولكن قد تكون الفترة الفاصلة بين الوقتين بضع ثوانٍ فقط. عمليًا، قد لا تكون ساعات مستجيب OCSP والعملاء متزامنة بدقة، وبالتالي قد يفشل هذا الفحص. لتجنب ذلك، يمكن استخدام خيار -validity_period لتحديد نطاق خطأ مقبول بالثواني، والقيمة المبدئية هي 5 دقائق.

إذا أُغفل وقت notAfter من الاستجابة، فهذا يعني أن معلومات الحالة الجديدة متاحة على الفور. في هذه الحالة، يُفحص عمر حقل notBefore للتأكد من أنه ليس أقدم من age ثانية. مبدئيًا لا يُجرى هذا الفحص الإضافي.

يضبط هذا الخيار خوارزمية الخلاصة لاستخدامها لتعريف الشهادة في استجابة OCSP. يمكن استخدام أي خلاصة يدعمها الأمر openssl-dgst(1). المبدئي هو نفس خوارزمية الخلاصة المستخدمة في الطلب.
-خلاصة
يضبط هذا الخيار خوارزمية الخلاصة لاستخدامها لتعريف الشهادة في طلب OCSP. يمكن استخدام أي خلاصة يدعمها أمر OpenSSL dgst. المبدئي هو SHA-1. يمكن استخدام هذا الخيار عدة مرات لتحديد الخلاصة المستخدمة من قبل معرفات الشهادات اللاحقة.
انظر "Trusted Certificate Options" في openssl-verification-options(1) للتفاصيل.
اضبط خيارات متنوعة للتحقق من سلسلة الشهادات. انظر "خيارات التحقق" في openssl-verification-options(1) للحصول على التفاصيل.
انظر "خيارات المزود" في openssl(1)، و provider(7)، و property(7).

خيارات خادم OCSP

المعطى indexfile هو اسم ملف فهرس نصي بتنسيق ca يحتوي على معلومات إبطال الشهادات.

إذا حُدد خيار -index، ينتقل هذا الأمر إلى وضع المستجيب، وإلا فإنه يكون في وضع العميل. الطلبات التي يعالجها المستجيب يمكن تحديدها إما على سطر الأوامر (باستخدام خياري -issuer و -serial)، أو توفيرها في ملف (باستخدام خيار -reqin) أو عبر عملاء OCSP خارجيين (إذا حُدد -port أو -url).

إذا وجد خيار -index، فيجب أيضًا وجود خياري -CA و -rsigner.

شهادات CA المقابلة لمعلومات الإبطال في ملف الفهرس المقدم مع -index. يمكن أن يكون الإدخال بتنسيق PEM أو DER أو PKCS#12.
الشهادة المستخدمة لتوقيع استجابات OCSP. يمكن أن يكون الإدخال بتنسيق PEM أو DER أو PKCS#12.
المفتاح الخاص لتوقيع استجابات OCSP: إذا لم يوجد، يُستخدم الملف المحدد في خيار -rsigner.
مصدر كلمة مرور المفتاح الخاص. لمزيد من المعلومات حول تنسيق arg انظر openssl-passphrase-options(1).
شهادات إضافية لتضمينها في استجابة OCSP. يمكن أن يكون الإدخال بتنسيق PEM أو DER أو PKCS#12.
مرر الخيارات إلى خوارزمية التوقيع عند توقيع استجابات OCSP. أسماء وقيم هذه الخيارات تعتمد على الخوارزمية.
الخلاصة المستخدمة عند توقيع الاستجابة.
أفسِد توقيع الاستجابة قبل كتابته؛ يمكن أن يكون هذا مفيدًا للاختبار.
لا تضمن أي شهادات في استجابة OCSP.
حدد شهادة الموقع باستخدام معرف المفتاح (key ID)، المبدئي هو استخدام اسم الموضوع.
المنفذ الذي سيُنصت فيه لطلبات OCSP. كلاهما IPv4 و IPv6 ممكنان. يمكن أيضًا تحديد المنفذ باستخدام خيار -url. يشير المعطى 0 إلى أنه سيُختار أي منفذ متاح آليًا.
تجاهل الطلبات أو الاستجابات المشوهة: عند العمل كعميل OCSP، أعد المحاولة إذا استُلمت استجابة مشوهة. وعند العمل كمستجيب OCSP، استمر في التشغيل بدلاً من الإنهاء عند استلام طلب مشوه.
سيخرج خادم OCSP بعد استلام عدد من الطلبات، المبدئي غير محدود.
شغل العدد المحدد من العمليات الفرعية لمستجيب OCSP، مع قيام العملية الأب بإعادة إنتاج العمليات الفرعية حسب الحاجة. ستكتشف العمليات الفرعية التغييرات في ملف فهرس CA وتُعيد تحميله آليًا. عند التشغيل كمستجيب، يوصى بخيار -timeout للحد من الوقت الذي ترغب كل عملية فرعية في انتظاره لاستجابة OCSP للعميل. هذا الخيار متاح على أنظمة POSIX (التي تدعم fork() واستدعاءات نظام يونكس المطلوبة الأخرى).
عدد الدقائق أو الأيام التي تتوفر فيها معلومات إبطال جديدة: تُستخدم في حقل nextUpdate. إذا لم يوجد أي من الخيارين، فسيُغفل حقل nextUpdate مما يعني أن معلومات الإبطال الجديدة متاحة على الفور.

التحقق من استجابة OCSP

تتبع استجابة OCSP القواعد المحددة في RFC2560.

في البداية، يُحدد موقع شهادة مستجيب OCSP ويُفحص التوقيع على طلب OCSP باستخدام المفتاح العام لشهادة المستجيب.

بعد ذلك، يُجرى تحقق عادي من الشهادة على شهادة مستجيب OCSP مع بناء سلسلة شهادات في هذه العملية. يمكن تحديد مواقع الشهادات الموثوقة المستخدمة لبناء السلسلة بواسطة خيارات -CAfile أو -CApath أو -CAstore أو سيُبحث عنها في دليل شهادات OpenSSL القياسي.

إذا فشل التحقق الأولي، تتوقف عملية التحقق من OCSP مع حدوث خطأ.

بخلاف ذلك، تُقارن شهادة CA المصدرة في الطلب مع شهادة مستجيب OCSP: إذا كان هناك تطابق، ينجح التحقق من OCSP.

بخلاف ذلك، تُفحص جهة تصديق (CA) شهادة مستجيب OCSP مقابل شهادة جهة التصديق المصدرة في الطلب. إذا كان هناك تطابق وكان استخدام المفتاح الممتد OCSPSigning موجودًا في شهادة مستجيب OCSP، ينجح التحقق من OCSP.

بخلاف ذلك، إذا لم يُضبط -no_explicit، تُفحص جهة التصديق الجذرية (root CA) لجهة تصديق مستجيبي OCSP لمعرفة ما إذا كانت موثوقة لتوقيع OCSP. إذا كانت كذلك، ينجح التحقق من OCSP.

إذا لم ينجح أي من هذه الفحوصات، يفشل التحقق من OCSP.

ما يعنيه هذا فعليًا هو أنه إذا كانت شهادة مستجيب OCSP مفوضة مباشرة من قبل جهة التصديق التي تصدر معلومات الإبطال عنها (وهي مضبوطة بشكل صحيح)، فسينجح التحقق.

إذا كان مستجيب OCSP عبارة عن "مستجيب عالمي" يمكنه تقديم تفاصيل حول عدة جهات تصديق ولديه سلسلة شهادات منفصلة خاصة به، فيمكن الوثوق بجهة التصديق الجذرية الخاصة به لتوقيع OCSP. على سبيل المثال:

openssl x509 -in ocspCA.pem -addtrust OCSPSigning -out trustedCA.pem

بدلاً من ذلك، يمكن الوثوق بشهادة المستجيب نفسها صراحةً باستخدام خيار -VAfile.

ملاحظات

كما ذُكر، فإن معظم خيارات التحقق هي لأغراض الاختبار أو التنقيح. عادةً ما يُحتاج فقط إلى استخدام الخيارات -CApath و -CAfile و -CAstore و (إذا كان المستجيب هو 'global VA') خيار -VAfile.

خادم OCSP مفيد فقط لأغراض الاختبار والعرض: فهو غير صالح فعليًا للاستخدام كمستجيب OCSP كامل. إذ يحتوي فقط على معالجة بسيطة جدًا لطلبات HTTP ولا يمكنه التعامل إلا مع صيغة POST لاستعلامات OCSP. كما أنه يعالج الطلبات بالتسلسل، مما يعني أنه لا يمكنه الاستجابة لطلبات جديدة حتى يفرغ من معالجة الطلب الحالي. كما أن تنسيق ملف الفهرس النصي للإلغاء غير فعال للكميات الكبيرة من بيانات الإلغاء.

يمكن تشغيل هذا الأمر في وضع المستجيب عبر نص CGI برمجي باستخدام خياري -reqin و -respout.

أمثلة

أنشئ طلب OCSP واكتبه في ملف:

openssl ocsp -issuer issuer.pem -cert c1.pem -cert c2.pem -reqout req.der

أرسل استعلامًا إلى مستجيب OCSP عبر العنوان http://ocsp.myhost.com/ واحفظ الاستجابة في ملف، واطبعها بصيغة نصية، وتحقق من الاستجابة:

openssl ocsp -issuer issuer.pem -cert c1.pem -cert c2.pem \
    -url http://ocsp.myhost.com/ -resp_text -respout resp.der

اقرأ استجابة OCSP واطبعها بالصيغة النصية:

openssl ocsp -respin resp.der -text -noverify

خادم OCSP على المنفذ 8888 باستخدام تهيئة ca قياسية، وشهادة مستجيب منفصلة. تُطبع جميع الطلبات والاستجابات في ملف.

openssl ocsp -index demoCA/index.txt -port 8888 -rsigner rcert.pem -CA demoCA/cacert.pem
       -text -out log.txt

كما ورد أعلاه ولكن اخرج بعد معالجة طلب واحد:

openssl ocsp -index demoCA/index.txt -port 8888 -rsigner rcert.pem -CA demoCA/cacert.pem
    -nrequest 1

استعلم عن معلومات الحالة باستخدام طلب مُوّلد داخليًا:

openssl ocsp -index demoCA/index.txt -rsigner rcert.pem -CA demoCA/cacert.pem
    -issuer demoCA/cacert.pem -serial 1

استعلم عن معلومات الحالة باستخدام طلب مقروء من ملف، واكتب الاستجابة في ملف ثانٍ.

openssl ocsp -index demoCA/index.txt -rsigner rcert.pem -CA demoCA/cacert.pem
    -reqin req.der -respout resp.der

التاريخ

أُضيف خيار -no_alt_chains في OpenSSL 1.1.0.

حقوق النسخ

حقوق النشر 2001-2023 لمؤلفي مشروع OpenSSL. جميع الحقوق محفوظة.

مرخص بموجب رخصة Apache 2.0 (المشار إليها فيما يلي بـ ”الرخصة“). لا يجوز لك استخدام هذا الملف إلا وفقًا لشروط الرخصة. يمكنك الحصول على نسخة منها في الملف LICENSE الموجود في حزمة التوزيع المصدرية أو على الرابط https://www.openssl.org/source/license.html.

ترجمة

تُرجمت هذه الصفحة من الدليل بواسطة زايد السعيدي <zayed.alsaidi@gmail.com>

هذه الترجمة هي وثيقة مجانية؛ راجع رخصة جنو العامة الإصدار 3 أو ما بعده للاطلاع على شروط حقوق النشر. لا توجد أي ضمانات.

إذا وجدت أي أخطاء في ترجمة صفحة الدليل هذه، يرجى إرسال بريد إلكتروني إلى قائمة بريد المترجمين: kde-l10n-ar@kde.org.

7 أبريل 2026 3.6.2