证书吊销

OCSP 用于检查 X509 证书的吊销状态。OCSP 实时提供证书的吊销状态，在银行交易和股票交易等时间敏感的情况下非常有用。

通过向驻留在 SRX 系列防火墙之外的 OCSP 服务器发送请求来检查证书的吊销状态。根据服务器的响应，允许或拒绝 VPN 连接。OCSP 响应不会缓存在 SRX 系列防火墙上。

OCSP 服务器可以是颁发证书的 证书颁发机构 （CA）， 也可以是指定的授权响应方。可以手动配置 OCSP 服务器的位置，也可以从正在验证的证书中提取。首先将请求发送到 CA 配置文件中使用 [edit security pki ca-profile profile-name revocation-check] 层次结构级别的语句手动ocsp url配置的 OCSP 服务器位置;每个 CA 配置文件最多可以配置两个位置。如果无法访问第一个配置的 OCSP 服务器，则会将请求发送到第二个 OCSP 服务器。如果无法访问第二个 OCSP 服务器，则会将请求发送到证书的 AuthorityInfoAccess 扩展字段中的位置。还必须配置该 use-ocsp 选项，因为 证书吊销列表 （CRL） 是默认检查方法。

SRX 系列防火墙仅接受来自 CA 或授权响应方的签名 OCSP 响应。收到的响应使用受信任的证书进行验证。响应验证如下：

1. 为配置的 CA 配置文件注册的 CA 证书用于验证响应。

2. OCSP 响应可能包含用于验证 OCSP 响应的证书。收到的证书必须由在 SRX 系列防火墙中注册的 CA 证书签名。CA 证书验证收到的证书后，将使用该证书验证 OCSP 响应。

来自 OCSP 服务器的响应可以由不同的 CA 签名。支持以下方案：

• 为设备颁发最终实体证书的 CA 服务器也会对 OCSP 吊销状态响应进行签名。SRX 系列防火墙使用 SRX 系列防火墙中注册的 CA 证书验证 OCSP 响应签名。验证 OCSP 响应后，将检查证书吊销状态。

• 授权响应方对 OCSP 吊销状态响应进行签名。授权响应方的证书和正在验证的最终实体证书必须由同一 CA 颁发。首先使用 SRX 系列防火墙中注册的 CA 证书验证授权响应方。OCSP 响应使用响应方的 CA 证书进行验证。然后，SRX 系列防火墙使用 OCSP 响应检查最终实体证书的吊销状态。

• 要验证的最终实体证书和 OCSP 响应有不同的 CA 签名者。OCSP 响应由证书链中的 CA 签名，用于验证的最终实体证书。（参与 IKE 协商的所有对等方都需要在其各自的证书链中至少有一个通用可信 CA。OCSP 响应方的 CA 使用证书链中的 CA 进行验证。验证响应方 CA 证书后，将使用响应方的 CA 证书验证 OCSP 响应。

为了防止重放攻击，可以在 OCSP 请求中发送 随机数 有效负载。默认情况下会发送随机数有效负载，除非显式禁用。如果启用，SRX 系列防火墙应 OCSP 响应包含随机有效负载，否则吊销检查将失败。如果 OCSP 响应程序无法使用随机数有效负载进行响应，则必须在 SRX 系列防火墙上禁用随机数有效负载。

在正常业务过程中，证书会因各种原因被吊销。例如，如果您怀疑证书已泄露，或者证书持有者离开公司，您可能希望吊销证书。

您可以通过两种方式管理证书吊销和验证：

• 本地 — 这是一个有限的解决方案。

• 通过引用证书颁发机构 （CA） 证书吊销列表 （CRL） — 您可以按指定的时间间隔或 CA 设置的默认时间间隔自动联机访问 CRL。

在第 1 阶段协商中，SRX 系列防火墙验证在 IKE 交换期间从对等方收到的 EE 证书，并使用 CRL 确保 EE 证书未被其 CA 吊销。

如果设备上未加载 CRL，并且对等证书颁发者是受信任的 CA：

1. Junos OS 通过配置的 LDAP 或 HTTP CRL 位置（即 CRL 分发点 （CDP））检索 CRL（如果在 CA 配置文件中定义）。
2. 如果未在 CA 配置文件中配置 CRL 分发点，则设备将在 CA 颁发的证书（如果存在）中使用 CDP 扩展。CA 颁发的证书可以是管理员注册的证书，也可以是第 1 阶段协商期间收到的证书。

如果 EE 证书不是由根 CA 颁发的，则每个中间 CA 的证书将经过相同的验证和吊销检查。根 CA 的 CRL 用于检查根 CA 颁发的证书是否已吊销。如果未在根 CA 配置文件中配置 CDP，则设备将使用 CA 颁发的证书（如果存在）中的 CDP 扩展名。

可以将 X509 证书中的 CRL 分发点扩展 （.cdp） 添加到 HTTP URL 或 LDAP URL。

如果证书不包含证书分发点扩展，并且无法通过轻型目录访问协议 （LDAP） 或超文本传输协议 （HTTP） 自动检索 CRL，则可以手动检索 CRL 并将其加载到设备中。

即使禁用了 CRL 检查，也会根据证书吊销列表 （CRL） 验证本地证书。可以通过公钥基础结构 （PKI） 配置禁用 CRL 检查来阻止此操作。禁用 CRL 检查后，PKI 将不会根据 CRL 验证本地证书。

此示例演示如何将 CRL 手动加载到设备上。

为了便于在未配置 CA 配置文件时对证书进行 CRL 检查，将创建动态 CA 配置文件。将在本地设备上自动创建格式为 dynamic-nnn.

动态 CA 配置文件：

• 允许本地设备根据对等方的本地证书颁发者下载动态 CA 和动态 CRL（对于相应的 CA）
• 检查对等方证书的吊销状态

VPN 设备检查对等方的 EE 证书的吊销状态。VPN 设备使用从其对等方 收到的证书执行以下操作：

• 提取 URL 以动态下载 CA 的 CRL
• 检查对等方 EE 证书的吊销状态

在 中 图 1，主机 A 可以使用从主机 B 收到的销售 CA 和 EE 证书动态下载销售 CA 的 CRL，并检查主机 B 证书的吊销状态。

图 1： 基于证书的身份验证的多级层次结构

对于单层次结构 CA 服务器或 CA 证书链，本地 EE 证书和收到的对等 EE 证书从同一 CA 服务器颁发。

以下是基于不同配置的一些 SRX 系列防火墙行为：

• 如果已使用 trusted-ca 或 trusted-ca 组配置 SRX 系列防火墙，则设备不会验证或信任任何其他 CA。
• 如果您定义的 CA 配置文件具有一系列 CA，其中 SRX 系列防火墙仅信任根 CA，并且对等方具有由子 CA 签名的此根证书，则动态 CA 和 CRL 将添加到设备中。

表 1 提供了一些未创建动态 CA 或 CRL 的示例方案：

要启用动态 CA 配置文件，必须在 [edit security pki ca-profile profile-name] 层次结构级别的根 CA 配置文件上配置该revocation-check crl选项。

对于动态 CA 配置文件，将继承根 CA 配置文件的吊销检查属性。在 中 图 1，用于根 CA 的主机 A 上的 CA 配置文件配置将启用动态 CA 配置文件，如以下输出所示：

在主机 A 上为 Sales-CA 创建动态 CA 配置文件。吊销检查是从根 CA 继承的 Sales-CA 动态 CA 配置文件的。

如果在根 CA 概要文件中配置了revocation-check disable该语句，则不会创建动态 CA 概要文件，也不会执行动态 CRL 下载和检查。

使用命令显示 show security pki crl 从动态 CA 配置文件下载的 CRL 的数据的方式与配置的 CA 配置文件下载的 CRL 的方式相同。动态 CA 配置文件中的 CRL 会定期更新，设备中配置的 CA 配置文件的 CRL 也会定期更新。从 CA 服务器下载的 CRL 的签名验证也需要对等 CA 证书。

需要 CA 证书来验证从 CA 服务器收到的 CRL;因此，从对等方收到的 CA 证书存储在本地设备上。从对等方收到的 CA 证书用于验证 CRL 及其颁发的证书。由于收到的 CA 证书不是由管理员注册的，因此在验证到根 CA 的整个证书链之前，证书验证成功的结果不是决定性的。根 CA 的证书必须由管理员注册。

此示例说明如何使用 CRL 位置配置证书颁发机构配置文件。

此示例演示如何验证证书的有效性。