کلاینت OCSP (OCSP Client)

openssl ocsp [-help] [-out file] [-issuer file] [-cert file] [-no_certs] [-serial n] [-signer file] [-signkey file] [-sign_other file] [-nonce] [-no_nonce] [-req_text] [-resp_text] [-text] [-reqout filename] [-respout filename] [-reqin filename] [-respin filename] [-url URL] [-host host:port] [-path pathname] [-proxy [http[s]://][userinfo@]host[:port][/path][?query][#fragment]] [-no_proxy addresses] [-header] [-timeout seconds] [-VAfile file] [-validity_period n] [-status_age n] [-noverify] [-verify_other file] [-trust_other] [-no_intern] [-no_signature_verify] [-no_cert_verify] [-no_chain] [-no_cert_checks] [-no_explicit] [-port num] [-ignore_err]

سرور OCSP (OCSP Server)

openssl ocsp [-index file] [-CA file] [-rsigner file] [-rkey file] [-passin arg] [-rother file] [-rsigopt nm:v] [-rmd digest] [-badsig] [-resp_no_certs] [-nmin n] [-ndays n] [-resp_key_id] [-nrequest n] [-multi process-count] [-rcid digest] [-digest] [-CAfile file] [-no-CAfile] [-CApath dir] [-no-CApath] [-CAstore uri] [-no-CAstore] [-allow_proxy_certs] [-attime timestamp] [-no_check_time] [-check_ss_sig] [-crl_check] [-crl_check_all] [-explicit_policy] [-extended_crl] [-ignore_critical] [-inhibit_any] [-inhibit_map] [-partial_chain] [-policy arg] [-policy_check] [-policy_print] [-purpose purpose] [-suiteB_128] [-suiteB_128_only] [-suiteB_192] [-trusted_first] [-no_alt_chains] [-use_deltas] [-auth_level num] [-verify_depth num] [-verify_email email] [-verify_hostname hostname] [-verify_ip ip] [-verify_name name] [-x509_strict] [-issuer_checks] [-provider name] [-provider-path path] [-provparam [name:]key=value] [-propquery propq]

گزینه‌های کلاینت OCSP (OCSP Client Options)

-help

چاپ پیام راهنمای نحوه استفاده.

-out filename

تعیین نام فایل خروجی؛ حالت پیش‌فرض، خروجی استاندارد است.

-issuer filename

این گزینه گواهی‌نامه صادرکننده فعلی را مشخص می‌کند. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

از این گزینه می‌توان چندین بار استفاده کرد. این گزینه باید پیش از هر یک از گزینه‌های -cert قرار گیرد.

-cert filename

افزودن گواهی‌نامه filename به درخواست. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

از این گزینه می‌توان چندین بار استفاده کرد. گواهی‌نامه صادرکننده از گزینه -issuer قبلی برگرفته می‌شود، و در صورتی که هیچ گواهی صادرکننده‌ای مشخص نشده باشد، خطایی رخ می‌دهد.

-no_certs

هیچ گواهی‌نامه‌ای در درخواست امضاشده گنجانده نشود.

-serial num

مشابه گزینه -cert است، با این تفاوت که گواهی‌نامه با شماره سریال num به درخواست افزوده می‌شود. شماره سریال به صورت یک عدد صحیح در مبنای ده تفسیر می‌شود مگر اینکه پیش از آن "0x" قرار گیرد. اعداد صحیح منفی را نیز می‌توان با درج علامت "-" پیش از مقدار مشخص کرد.

-signer filename, -signkey filename

امضای درخواست OCSP با استفاده از گواهی‌نامه مشخص‌شده در گزینه -signer و کلید خصوصی مشخص‌شده توسط گزینه -signkey. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

اگر گزینه -signkey ارائه نشود، کلید خصوصی از همان فایلِ گواهی‌نامه خوانده می‌شود. اگر هیچ‌یک از این دو گزینه مشخص نشوند، درخواست OCSP امضا نخواهد شد.

-sign_other filename

گواهی‌نامه‌های بیشتر جهت گنجاندن در درخواست امضاشده. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

-nonce, -no_nonce

افزودن افزونه نانس (nonce) OCSP به درخواست یا غیرفعال کردن افزودن نانس OCSP. معمولاً اگر یک درخواست OCSP با استفاده از گزینه -reqin ورودی داده شود، هیچ نانسی اضافه نمی‌شود: استفاده از گزینه -nonce افزودن نانس را اجباری می‌کند. اگر یک درخواست OCSP در حال ایجاد باشد (با استفاده از گزینه‌های -cert و -serial)، یک نانس به‌طور خودکار افزوده می‌شود که مشخص کردن -no_nonce این رفتار را لغو می‌کند.

-req_text, -resp_text, -text

چاپ شکل متنی درخواست OCSP، پاسخ یا هر دو به ترتیب.

-reqout file, -respout filename

نوشتن درخواست یا پاسخ OCSP با کدگذاری DER در filename. نام فایل خروجی می‌تواند همان نام فایل ورودی باشد، که در این صورت محتوای فایل جایگزین می‌شود. توجه داشته باشید که عملیات ورودی/خروجی فایل اتمیک نیست. فایل خروجی ابتدا کوتاه‌سازی (truncate) و سپس نوشته می‌شود.

-reqin file, -respin filename

خواندن فایل درخواست یا پاسخ OCSP از file. اگر ایجاد درخواست یا پاسخ OCSP توسط گزینه‌های دیگر استنباط شده باشد (برای نمونه با گزینه‌های -serial، -cert و -host)، این گزینه‌ها نادیده گرفته می‌شوند.

-url responder_url

مشخص کردن میزبان پاسخ‌دهنده و در صورت تمایل درگاه (پورت) و مسیر از طریق یک URL. هر دو نشانی اینترنتی HTTP و HTTPS (SSL/TLS) را می‌توان مشخص کرد. مؤلفه‌های اختیاری userinfo و fragment نادیده گرفته می‌شوند. هر بخش query ارائه‌شده به عنوان بخشی از مؤلفه مسیر (path) مدیریت می‌شود. برای جزئیات بیشتر، گزینه‌های -host و -path را که در ادامه شرح داده شده‌اند مشاهده کنید.

-host host:port, -path pathname

اگر گزینه -host ارائه شده باشد، درخواست OCSP به میزبان host روی پورت port ارسال می‌شود. مقدار host می‌تواند یک نام دامنه یا نشانی IP (نسخه ۴ یا ۶) باشد، مانند 127.0.0.1 یا "[::1]" برای localhost. اگر نشانی IPv6 باشد، باید میان "[" و "]" قرار گیرد.

گزینه -path مسیر HTTP را برای استفاده مشخص می‌کند که به صورت پیش‌فرض "/" است. این معادل مشخص کردن -url با طرح http:// همراه با مقادیر تعیین‌شده برای host، port و pathname اختیاری است.

-proxy [http[s]://][userinfo@]host[:port][/path][?query][#fragment]

سرور پراکسی HTTP(S) جهت استفاده برای اتصال به سرور OCSP، مگر اینکه -no_proxy اعمال شود (به زیر مراجعه کنید). اگر رشته میزبان یک نشانی IPv6 باشد، باید در میان "[" و "]" قرار گیرد. پورت پیش‌فرض پراکسی در صورتی که طرح "https" باشد، ۸۰ یا ۴۴۳ است؛ صرف‌نظر از این، پیشوند اختیاری "http://" یا "https://" و همچنین مؤلفه‌های userinfo، path، query و fragment نادیده گرفته می‌شوند. در صورت تنظیم، مقدار پیش‌فرض از متغیر محیطی "http_proxy" و در غیر این صورت اگر از TLS استفاده نشود از "HTTP_PROXY" گرفته می‌شود؛ در صورت استفاده از TLS در صورت تنظیم از "https_proxy" و در غیر این صورت از "HTTPS_PROXY" دریافت خواهد شد.

-no_proxy addresses

فهرستی از نشانی‌های IP و/یا نام‌های دامنه DNS سرورهایی که نباید برای اتصال به آن‌ها از پراکسی HTTP(S) استفاده شود، که با کاما و/یا نویسه‌های فاصله از هم جدا شده‌اند (در صورت استفاده از نویسه‌های فاصله، کل آرگومان باید در "..." قرار گیرد). مقدار پیش‌فرض در صورت تنظیم از متغیر محیطی "no_proxy" و در غیر این صورت از "NO_PROXY" دریافت می‌شود.

-header name=value

هدر name را با مقدار مشخص‌شده value به درخواست OCSP ارسالی به پاسخ‌دهنده می‌افزاید. این گزینه می‌تواند تکرار شود.

-timeout seconds

مهلت زمانی اتصال به پاسخ‌دهنده OCSP بر حسب ثانیه. در سیستم‌های POSIX، هنگام اجرا به عنوان پاسخ‌دهنده OCSP، این گزینه همچنین مدت زمانی را که پاسخ‌دهنده مایل است برای دریافت درخواست کلاینت منتظر بماند محدود می‌کند. این زمان از لحظه پذیرش اتصال توسط پاسخ‌دهنده تا دریافت کامل درخواست سنجیده می‌شود.

-verify_other file

فایل یا URI حاوی گواهی‌نامه‌های بیشتر جهت جستجو هنگام تلاش برای تعیین موقعیت گواهی‌نامه امضاکننده پاسخ OCSP. برخی از پاسخ‌دهنده‌ها گواهی‌نامه امضاکننده واقعی را از پاسخ حذف می‌کنند: از این گزینه می‌توان برای ارائه گواهی‌نامه لازم در چنین مواردی استفاده کرد. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

-trust_other

گواهی‌نامه‌های مشخص‌شده با گزینه -verify_other باید صراحتاً مورد اعتماد قرار گیرند و هیچ بررسی اضافی روی آن‌ها انجام نخواهد شد. این گزینه زمانی سودمند است که زنجیره کامل گواهی‌نامه پاسخ‌دهنده در دسترس نباشد یا اعتماد به یک CA ریشه مناسب نباشد.

-VAfile file

فایل یا URI حاوی گواهی‌نامه‌های پاسخ‌دهنده که صراحتاً مورد اعتماد هستند. معادل با گزینه‌های -verify_other و -trust_other است. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

-noverify

تلاشی برای اعتبارسنجی امضای پاسخ OCSP یا مقادیر نانس انجام ندهد. از این گزینه معمولاً فقط برای اشکال‌زدایی استفاده می‌شود زیرا تمام بررسی‌های اعتبارسنجی گواهی‌نامه پاسخ‌دهنده را غیرفعال می‌سازد.

-no_intern

نادیده گرفتن گواهی‌نامه‌های موجود در پاسخ OCSP هنگام جستجو برای گواهی‌نامه امضاکننده. با این گزینه، گواهی‌نامه امضاکننده باید یا از طریق گزینه -verify_other و یا -VAfile مشخص گردد.

-no_signature_verify

امضای روی پاسخ OCSP را بررسی نکن. از آنجا که این گزینه امضاهای نامعتبر روی پاسخ‌های OCSP را نادیده می‌گیرد، معمولاً فقط برای اهداف آزمایشی به کار می‌رود.

-no_cert_verify

گواهی‌نامه امضاکننده پاسخ OCSP را اصلاً اعتبارسنجی نکن. از آنجا که این گزینه اجازه می‌دهد پاسخ OCSP با هر گواهی‌نامه‌ای امضا شده باشد، فقط باید برای مقاصد آزمایشی استفاده شود.

-no_chain

از گواهی‌نامه‌های موجود در پاسخ به عنوان گواهی‌نامه‌های CA نامعتمد اضافی استفاده نشود.

-no_explicit

اگر CA ریشه برای امضای OCSP مورد اعتماد تنظیم شده است، به طور صریح به آن اعتماد نکن.

-no_cert_checks

هیچ بررسی اضافی روی گواهی‌نامه امضاکننده پاسخ OCSP انجام نده. به این معنا که هیچ بررسی صورت نمی‌گیرد تا مشخص شود آیا گواهی‌نامه امضاکننده مجاز به ارائه اطلاعات وضعیت لازم است یا خیر؛ در نتیجه این گزینه فقط باید برای اهداف آزمایشی استفاده شود.

-validity_period nsec, -status_age age

این گزینه‌ها بازه زمانی مجاز (بر حسب ثانیه) را در پاسخ OCSP مشخص می‌کنند. هر پاسخ وضعیت گواهی‌نامه شامل یک زمان notBefore و یک زمان اختیاری notAfter است. زمان جاری باید میان این دو مقدار قرار گیرد، اما فاصله میان دو زمان ممکن است تنها چند ثانیه باشد. در عمل، ساعت‌های پاسخ‌دهنده OCSP و کلاینت‌ها ممکن است دقیقاً همگام نباشند و بنابراین چنین بررسی ممکن است ناموفق باشد. برای جلوگیری از این امر، می‌توان از گزینه -validity_period برای تعیین بازه خطای قابل قبول بر حسب ثانیه استفاده کرد؛ مقدار پیش‌فرض ۵ دقیقه است.

اگر زمان notAfter از یک پاسخ حذف شده باشد، به این معنی است که اطلاعات جدید وضعیت بلافاصله در دسترس است. در این حالت، سن فیلد notBefore بررسی می‌شود تا مطمئن شویم بیش از age ثانیه عمر ندارد. به‌طور پیش‌فرض این بررسی اضافی انجام نمی‌شود.

-rcid digest

این گزینه الگوریتم خلاصه پیام را برای شناسایی گواهی‌نامه در پاسخ OCSP مشخص می‌کند. از هر خلاصه پیامی که توسط دستور openssl-dgst(1) پشتیبانی شود می‌توان استفاده کرد. حالت پیش‌فرض همان الگوریتم خلاصه پیامی است که در درخواست استفاده شده است.

-digest

این گزینه الگوریتم خلاصه پیام را برای شناسایی گواهی‌نامه در درخواست OCSP مشخص می‌کند. هر خلاصه‌ای که توسط دستور dgst در OpenSSL پشتیبانی شود قابل استفاده است. مقدار پیش‌فرض SHA-1 است. این گزینه ممکن است چندین بار برای تعیین خلاصه پیام مورد استفاده توسط شناسه‌های بعدی گواهی‌نامه به کار رود.

-CAfile file, -no-CAfile, -CApath dir, -no-CApath, -CAstore uri, -no-CAstore

برای جزئیات بیشتر به بخش «گزینه‌های گواهی‌نامه مورد اعتماد» در openssl-verification-options(1) مراجعه کنید.

-allow_proxy_certs, -attime, -no_check_time, -check_ss_sig, -crl_check, -crl_check_all, -explicit_policy, -extended_crl, -ignore_critical, -inhibit_any, -inhibit_map, -no_alt_chains, -partial_chain, -policy, -policy_check, -policy_print, -purpose, -suiteB_128, -suiteB_128_only, -suiteB_192, -trusted_first, -use_deltas, -auth_level, -verify_depth, -verify_email, -verify_hostname, -verify_ip, -verify_name, -x509_strict -issuer_checks

تنظیم گزینه‌های گوناگون اعتبارسنجی زنجیره گواهی‌نامه. برای جزئیات بیشتر به بخش «گزینه‌های اعتبارسنجی» در openssl-verification-options(1) مراجعه کنید.

-provider name

-provider-path path

-provparam [name:]key=value

-propquery propq

بخش «گزینه‌های ارائه‌دهنده» در openssl(1)، provider(7) و property(7) را مشاهده کنید.

گزینه‌های سرور OCSP (OCSP Server Options)

-index indexfile

پارامتر indexfile نام یک فایل نمایه متنی با قالب ca است که حاوی اطلاعات ابطال گواهی‌نامه است.

اگر گزینه -index مشخص شود، این دستور به حالت پاسخ‌دهنده تغییر وضعیت می‌دهد، در غیر این صورت در حالت کلاینت خواهد بود. درخواست‌هایی که پاسخ‌دهنده پردازش می‌کند می‌توانند در خط فرمان مشخص شوند (با استفاده از گزینه‌های -issuer و -serial)، از طریق یک فایل ارائه گردند (با استفاده از گزینه -reqin)، یا از طریق کلاینت‌های OCSP خارجی ارسال شوند (در صورتی که -port یا -url تعیین شده باشد).

اگر گزینه -index مشخص شده باشد، گزینه‌های -CA و -rsigner نیز باید مشخص شده باشند.

-CA file

گواهی‌نامه‌های CA متناظر با اطلاعات ابطال در فایل نمایه‌ای که با گزینه -index داده شده است. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

-rsigner file

گواهی‌نامه جهت امضای پاسخ‌های OCSP. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

-rkey file

کلید خصوصی جهت امضای پاسخ‌های OCSP؛ در صورت مشخص نشدن، از فایل تعیین‌شده در گزینه -rsigner استفاده می‌شود.

-passin arg

منبع عبارت عبور کلید خصوصی. برای اطلاعات بیشتر در مورد قالب arg، openssl-passphrase-options(1) را مشاهده کنید.

-rother file

گواهی‌نامه‌های اضافی جهت گنجاندن در پاسخ OCSP. ورودی می‌تواند در قالب‌های PEM، DER یا PKCS#12 باشد.

-rsigopt nm:v

ارسال گزینه‌ها به الگوریتم امضا هنگام امضای پاسخ‌های OCSP. نام‌ها و مقادیر این گزینه‌ها وابسته به الگوریتم هستند.

-rmd digest

الگوریتم خلاصه پیام جهت استفاده هنگام امضای پاسخ.

-badsig

تخریب امضای پاسخ پیش از نوشتن آن؛ این گزینه می‌تواند برای اهداف آزمایشی سودمند باشد.

-resp_no_certs

هیچ گواهی‌نامه‌ای در پاسخ OCSP گنجانده نشود.

-resp_key_id

شناسایی گواهی‌نامه امضاکننده با استفاده از شناسه کلید (key ID)؛ حالت پیش‌فرض استفاده از نام موضوع (subject name) است.

-port portnum

پورتی که باید برای درخواست‌های OCSP شنود شود. هر دو پروتکل IPv4 و IPv6 پشتیبانی می‌شوند. پورت را می‌توان با استفاده از گزینه -url نیز مشخص کرد. آرگومان 0 نشان می‌دهد که هر پورت در دسترس باید به صورت خودکار انتخاب شود.

-ignore_err

نادیده گرفتن درخواست‌ها یا پاسخ‌های ناقص و دارای قالب‌بندی نادرست: هنگام فعالیت به عنوان کلاینت OCSP، در صورت دریافت پاسخ نادرست مجدداً تلاش شود. هنگام فعالیت به عنوان پاسخ‌دهنده OCSP، در صورت دریافت درخواست ناقص یا نامعتبر به جای متوقف شدن، به اجرا ادامه دهد.

-nrequest number

سرور OCSP پس از دریافت number درخواست خارج خواهد شد؛ حالت پیش‌فرض نامحدود است.

-multi process-count

اجرای تعداد مشخص‌شده‌ای از فرآیندهای فرزند پاسخ‌دهنده OCSP، همراه با فرآیند والد که در صورت نیاز فرآیندهای فرزند را دوباره راه‌اندازی (respawn) می‌کند. فرآیندهای فرزند تغییرات فایل نمایه CA را تشخیص داده و آن را به طور خودکار بازخوانی می‌کنند. هنگام اجرا به عنوان پاسخ‌دهنده، گزینه -timeout برای محدود کردن مدت زمانی که هر فرزند مایل است برای پاسخ OCSP کلاینت منتظر بماند توصیه می‌شود. این گزینه در سیستم‌های POSIX (که از fork() و سایر فراخوان‌های سیستمی یونیکس مورد نیاز پشتیبانی می‌کنند) در دسترس است.

-nmin minutes, -ndays days

تعداد دقایق یا روزهایی که پس از آن اطلاعات ابطال تازه در دسترس خواهد بود: در فیلد nextUpdate استفاده می‌شود. اگر هیچ‌یک از این دو گزینه مشخص نشوند، فیلد nextUpdate حذف می‌شود، به این معنی که اطلاعات ابطال تازه بلافاصله در دسترس است.