ocsp java_OpenSSL 通过OCSP手动验证证书

翻译：https://raymii.org/s/articles/OpenSSL_Manually_Verify_a_certificate_against_an_OCSP.html?utm_source=tuicool&utm_medium=referral

目录：

1、ocsp客户端获取证书

2、获取证书信任链

3、发送ocsp请求

4、吊销证书

5、其他错误

这篇文章主要用来说明如何借助ocsp服务器来验证证书。ocsp(The Online Certificate Status Protocol)是一种验证证书状态的一种方式，也是CRL(certificate revocation list)证书吊销的一种替代方式。

与传统的CRL比较有以下特点：

由于相对于传统的CRL，一个ocsp响应包含的信息更少，故ocsp能够更有效利用网络和客户资源

用OCSP，客户无需自己解析CRL证书吊销列表，但是客户需要存储状态信息，而由于客户侧需要维护存储缓存，故导致存储信息很复杂。在实际使用中，这点带来的影响却很小，由于第三库提供的相关接口已经帮我们完成此类工作

OCSP通过专用网络、专用证书、在特定的时间公开其服务。OCSP不强制加密，故可能带来信息泄露的风险。

此文章中用到的openssl的版本为：OpenSSL 1.0.1g 7 Apr 2014

1、获取证书用于ocsp验证

首先，我们将从一个网站上获取一个证书，这里我们用Wikipedia作为样例来进行。我们获取证书通过如下命令：

openssl s_client -connect wikipedia.org:443 2&