证书吊销列表验证指南

证书吊销列表（Certificate Revocation List, CRL）是 PKI 系统中用于撤销已颁发证书的重要机制。本文将详细介绍如何使用 OpenSSL 工具验证证书的吊销状态。

什么是证书吊销列表

CRL 是由证书颁发机构（CA）维护的已撤销证书的列表。当证书出现以下情况时，会被添加到 CRL 中：

  • 私钥泄露
  • 证书信息变更
  • 用户不再需要该证书
  • CA 发现证书存在问题

验证证书吊销状态的命令

1. 查看证书基本信息

1

openssl x509 -in certificate.pem -text -noout

2. 下载 CRL 文件

1
2
3
4
5

# 从证书中提取 CRL 分布点
openssl x509 -in certificate.pem -text -noout | grep -A 5 "CRL Distribution Points"

# 下载 CRL 文件
wget -O crl.crl http://crl.example.com/crl.crl

3. 验证证书是否被吊销

1

openssl x509 -in certificate.pem -noout -purpose sslserver -verifycrl crl.crl

4. 完整的证书吊销验证脚本

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

#!/bin/bash

# 证书吊销验证脚本
# 用法: ./verify-crl.sh certificate.pem crl.crl

CERT_FILE=$1
CRL_FILE=$2

if [ ! -f "$CERT_FILE" ]; then
    echo "错误: 证书文件不存在: $CERT_FILE"
    exit 1
fi

if [ ! -f "$CRL_FILE" ]; then
    echo "错误: CRL 文件不存在: $CRL_FILE"
    exit 1
fi

echo "正在验证证书: $CERT_FILE"
echo "使用 CRL 文件: $CRL_FILE"

# 获取证书序列号
SERIAL=$(openssl x509 -in "$CERT_FILE" -serial -noout | sed 's/serial=//')
echo "证书序列号: $SERIAL"

# 检查证书是否在 CRL 中
openssl crl -in "$CRL_FILE" -text -noout | grep -A 10 "Serial Number" | grep "$SERIAL"

if [ $? -eq 0 ]; then
    echo "警告: 证书已被吊销！"
    exit 1
else
    echo "✓ 证书未被吊销，状态正常"
    exit 0
fi

实际验证示例

让我们创建一个测试证书和 CRL 来演示验证过程：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 创建 CA 私钥和证书
openssl genrsa -out ca.key 2048
openssl req -new -x509 -days 365 -key ca.key -out ca.crt -subj "/CN=Test CA"

# 创建用户私钥和证书签名请求
openssl genrsa -out user.key 2048
openssl req -new -key user.key -out user.csr -subj "/CN=User Test"

# 签发用户证书
openssl x509 -req -in user.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out user.crt -days 365

# 创建 CRL
openssl ca -gencrl -keyfile ca.key -cert ca.crt -out crl.crl

# 验证证书（应该正常）
./verify-crl.sh user.crt crl.crl

# 吊销证书
openssl ca -revoke user.crt -keyfile ca.key -cert ca.crt

# 重新生成 CRL
openssl ca -gencrl -keyfile ca.key -cert ca.crt -out crl.crl

# 再次验证证书（应该显示已吊销）
./verify-crl.sh user.crt crl.crl

自动化监控建议

1. 定期检查 CRL 更新时间

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

#!/bin/bash
# check-crl-updates.sh

CRL_URL="http://crl.example.com/crl.crl"
LOCAL_CRL="/var/crl/crl.crl"

# 下载最新的 CRL
wget -q -N "$CRL_URL" -O "$LOCAL_CRL"

# 检查 CRL 是否过期
CRL_EXPIRY=$(openssl crl -in "$LOCAL_CRL" -nextupdate -noout | cut -d= -f2)
CRL_EXPIRY_TIMESTAMP=$(date -d "$CRL_EXPIRY" +%s)
CURRENT_TIMESTAMP=$(date +%s)

DAYS_UNTIL_EXPIRY=$(( (CRL_EXPIRY_TIMESTAMP - CURRENT_TIMESTAMP) / 86400 ))

if [ $DAYS_UNTIL_EXPIRY -lt 7 ]; then
    echo "警告: CRL 将在 $DAYS_UNTIL_EXPIRY 天后过期"
    # 发送邮件通知
    echo "CRL 即将过期，请及时更新" | mail -s "CRL 过期警告" admin@example.com
fi

2. 集成到 Web 服务器配置

对于 Nginx，可以配置 CRL 检查：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

server {
    listen 443 ssl;
    server_name example.com;
    
    ssl_certificate /path/to/certificate.pem;
    ssl_certificate_key /path/to/private.key;
    
    # 启用证书吊销检查
    ssl_crl /path/to/crl.crl;
    ssl_crl_check all;
    
    # 其他配置...
}

常见问题解决

1. CRL 下载失败

问题: wget: unable to resolve host 'crl.example.com'

解决方案:

  • 检查 DNS 配置
  • 使用备用 CRL URL
  • 考虑使用 OCSP 替代 CRL

2. OpenSSL 版本兼容性

问题: 不同版本的 OpenSSL 命令参数可能不同

解决方案:

  • 检查 OpenSSL 版本：openssl version
  • 根据版本调整命令参数

3. 大规模部署建议

对于企业环境，建议：

  • 使用 OCSP Stapling 替代 CRL
  • 部署本地 CRL 分发服务器
  • 实施自动化监控和告警

总结

证书吊销验证是 PKI 安全的重要组成部分。通过本文介绍的方法，您可以：

  • 手动验证证书吊销状态
  • 自动化监控 CRL 更新
  • 集成到现有安全流程

定期验证证书吊销状态有助于及时发现并处理安全威胁，保护您的系统安全。

参考来源