7.6.3. 为 Bad Serial Numbers 设置响应

OCSP 响应者在确定证书是否有效前检查证书的撤销状态和过期日期。默认情况下,OCSP 不会验证证书上的其他信息。
notFoundAsGood 参数设置 OCSP 如何使用无效序列号处理证书。这个参数会被默认启用。这意味着,如果证书存在错误的序列号,但证书无法有效,OCSP 会为证书返回 GOOD 状态。
要让 OCSP 检查并拒绝基于错误序列号和撤销状态的证书,请更改 notFoundAsGood 设置。在这种情况下,OCSP 使用带有错误序列号的证书返回 UNKNOWN 状态。客户端解析为错误并可以相应地做出响应。
  1. 打开 Online Certificate Status Manager 控制台。
    pkiconsole https://server.example.com:8443/ocsp
  2. Configuration 选项卡中,选择 Online Certificate Status Manager,然后选择 Revocation Info Stores
  3. 选择 defStore,再单击 Edit/View
  4. 编辑 notFoundAsGood 值。选择复选框意味着 OCSP 返回 GOOD 值,即使证书中的序列号不正确。取消选择复选框意味着 OCSP 发送 UNKNOWN 的值,因为客户端可能会将错误作为错误。
  5. 重启 OCSP Manager。
    ]# systemctl restart pki-tomcatd@instance-name.service