.\" Automatically generated by Pod::Man 2.28 (Pod::Simple 3.29) .\" .\" Standard preamble: .\" ======================================================================== .de Sp \" Vertical space (when we can't use .PP) .if t .sp .5v .if n .sp .. .de Vb \" Begin verbatim text .ft CW .nf .ne \\$1 .. .de Ve \" End verbatim text .ft R .fi .. .\" Set up some character translations and predefined strings. \*(-- will .\" give an unbreakable dash, \*(PI will give pi, \*(L" will give a left .\" double quote, and \*(R" will give a right double quote. \*(C+ will .\" give a nicer C++. Capital omega is used to do unbreakable dashes and .\" therefore won't be available. \*(C` and \*(C' expand to `' in nroff, .\" nothing in troff, for use with C<>. .tr \(*W- .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p' .ie n \{\ . ds -- \(*W- . ds PI pi . if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch . if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\" diablo 12 pitch . ds L" "" . ds R" "" . ds C` "" . ds C' "" 'br\} .el\{\ . ds -- \|\(em\| . ds PI \(*p . ds L" `` . ds R" '' . ds C` . ds C' 'br\} .\" .\" Escape single quotes in literal strings from groff's Unicode transform. .ie \n(.g .ds Aq \(aq .el .ds Aq ' .\" .\" If the F register is turned on, we'll generate index entries on stderr for .\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index .\" entries marked with X<> in POD. Of course, you'll have to process the .\" output yourself in some meaningful fashion. .\" .\" Avoid warning from groff about undefined register 'F'. .de IX .. .nr rF 0 .if \n(.g .if rF .nr rF 1 .if (\n(rF:(\n(.g==0)) \{ . if \nF \{ . de IX . tm Index:\\$1\t\\n%\t"\\$2" .. . if !\nF==2 \{ . nr % 0 . nr F 2 . \} . \} .\} .rr rF .\" ======================================================================== .\" .IX Title "OCSP 1SSL" .TH OCSP 1SSL "2015-12-31" "1.0.2a 1.0.2c" "OpenSSL" .\" For nroff, turn off justification. Always turn off hyphenation; it makes .\" way too many mistakes in technical documents. .if n .ad l .nh .SH "NOM" .IX Header "NOM" ocsp \- Utilitaire pour le protocole d’état de certificat en ligne .SH "SYNOPSIS" .IX Header "SYNOPSIS" \&\fBopenssl\fR \fBocsp\fR [\fB\-out\fR \fInom_fichier\fR] [\fB\-issuer\fR \fIfichier\fR] [\fB\-cert\fR \fIfichier\fR] [\fB\-serial\fR \fIn\fR] [\fB\-signer\fR \fIfichier\fR] [\fB\-signkey\fR \&\fIfichier\fR] [\fB\-sign_other\fR \fIfichier\fR] [\fB\-no_certs\fR] [\fB\-req_text\fR] [\fB\-resp_text\fR] [\fB\-text\fR] [\fB\-reqout\fR \fIfichier\fR] [\fB\-respout\fR \fIfichier\fR] [\fB\-reqin\fR \fIfichier\fR] [\fB\-respin\fR \fIfichier\fR] [\fB\-nonce\fR] [\fB\-no_nonce\fR] [\fB\-url\fR \fI\s-1URL\s0\fR] [\fB\-host\fR \fIhôte\fR\fB:\fR\fIn\fR] [\fB\-path\fR] [\fB\-CApath\fR \fIrép\fR] [\fB\-CAfile\fR \fIfichier\fR][\fB\-no_alt_chains\fR] [\fB\-VAfile\fR \fIfichier\fR] [\fB\-validity_period\fR \fIn\fR] [\fB\-status_age\fR \fIage\fR] [\fB\-noverify\fR] [\fB\-verify_other\fR \fIfichier\fR] [\fB\-trust_other\fR] [\fB\-no_intern\fR] [\fB\-no_signature_verify\fR] [\fB\-no_cert_verify\fR] [\fB\-no_chain\fR] [\fB\-no_cert_checks\fR] [\fB\-no_explicit\fR] [\fB\-port\fR \fInum\fR] [\fB\-index\fR \&\fIfichier\fR] [\fB\-CA\fR \fIfichier\fR] [\fB\-rsigner\fR \fIfichier\fR] [\fB\-rkey\fR \&\fIfichier\fR] [\fB\-rother\fR \fIfichier\fR] [\fB\-resp_no_certs\fR] [\fB\-nmin\fR \fIn\fR] [\fB\-ndays\fR \fIn\fR] [\fB\-resp_key_id\fR] [\fB\-nrequest\fR \fIn\fR] [\fB\-md5\fR|\fB\-sha1\fR|...] .SH "DESCRIPTION" .IX Header "DESCRIPTION" Le protocole d'état de certificat en ligne (\s-1OCSP\s0) permet aux applications de déterminer l’état (de révocation) d'un certificat identifié (\s-1RFC 2560\s0). .PP La commande \fBocsp\fR effectue de nombreuses tâches \s-1OCSP\s0 communes. Elle permet d’afficher les demandes et les réponses, créer des demandes et envoyer des requêtes à un répondeur \s-1OCSP\s0 et se comporter comme un mini serveur \s-1OCSP\s0 lui\-même. .SH "OPTIONS DE CLIENT OCSP" .IX Header "OPTIONS DE CLIENT OCSP" .IP "\fB\-out\fR \fInom_fichier\fR" 4 .IX Item "-out nom_fichier" Indiquer le fichier de sortie, par défaut la sortie standard. .IP "\fB\-issuer\fR \fIfichier\fR" 4 .IX Item "-issuer fichier" Indiquer le certificat de l'émetteur actuel. Cette option peut être utilisée plusieurs fois. Le certificat mentionné dans le \fIfichier\fR doit être au format \s-1PEM.\s0 Cette option \fBdoit\fR être fournie avant toute option \fB\-cert\fR. .IP "\fB\-cert\fR \fIfichier\fR" 4 .IX Item "-cert fichier" Ajouter le certificat \fBfichier\fR à la demande. Le certificat d’émetteur est pris à partir de l'option \fB\-issuer\fR précédente ou une erreur se produit si aucun certificat d’émetteur n’est indiqué. .IP "\fB\-serial\fR \fIn\fR" 4 .IX Item "-serial n" Identique à l'option de \fB\-cert\fR sauf que le certificat de numéro de série \&\fInum\fR est ajouté à la demande. Le numéro de série est interprété comme un entier décimal sauf s’il est précédé par \fB0x\fR. Des nombres négatifs peuvent aussi être indiqués par un signe \fB\-\fR précédant la valeur. .IP "\fB\-signer\fR \fIfichier\fR, \fB\-signkey\fR \fIfichier\fR" 4 .IX Item "-signer fichier, -signkey fichier" Signer la demande \s-1OCSP\s0 à l'aide du certificat indiqué dans l'option \&\fB\-signer\fR et la clef privée indiquée par l'option \fB\-signkey\fR. Si l'option \&\fB\-signkey\fR n'est pas présente, alors la clef privée est lue à partir du même fichier que le certificat. Si aucune option n'est indiquée, alors la demande \s-1OCSP\s0 n'est pas signée. .IP "\fB\-sign_other\fR \fIfichier\fR" 4 .IX Item "-sign_other fichier" Certificats supplémentaires à inclure dans la demande signée. .IP "\fB\-nonce\fR, \fB\-no_nonce\fR" 4 .IX Item "-nonce, -no_nonce" Ajouter une extension nonce \s-1OCSP\s0 à une demande ou désactiver l’ajout de nonce \s-1OCSP.\s0 Normalement, si une demande \s-1OCSP\s0 est entrée en utilisant l'option \fB\-respin\fR, aucun nonce n’est ajouté : utiliser l'option \fB\-nonce\fR forcera l’ajout d'un nonce. Si une demande \s-1OCSP\s0 est créé (avec les options \&\fB\-cert\fR et \fB\-serial\fR), un nonce est automatiquement ajouté, indiquer \&\fB\-no_nonce\fR remplace cela. .IP "\fB\-req_text\fR, \fB\-resp_text\fR, \fB\-text\fR" 4 .IX Item "-req_text, -resp_text, -text" Afficher respectivement au format texte la requête \s-1OCSP,\s0 la réponse ou les deux. .IP "\fB\-reqout\fR \fIfichier\fR, \fB\-respout\fR \fIfichier\fR" 4 .IX Item "-reqout fichier, -respout fichier" Écrire la demande ou la réponse de certificat encodée en \s-1DER\s0 dans \&\fBfichier\fR. .IP "\fB\-reqin\fR \fIfichier\fR, \fB\-respin\fR \fIfichier\fR" 4 .IX Item "-reqin fichier, -respin fichier" Lire un fichier de demande ou de réponse \s-1OCSP\s0 dans \fBfichier\fR. Ces options sont ignorées si la création de demande ou réponse \s-1OCSP\s0 est implicite grâce à d'autres options (par exemple avec les options \fB\-serial\fR, \fB\-cert\fR et \&\fB\-host\fR). .IP "\fB\-url \s-1URL\s0\fR" 4 .IX Item "-url URL" Indiquer l’URL de répondeur. Des \s-1URL HTTP\s0 et \s-1HTTPS \s0(\s-1SSL\s0 ou \s-1TLS\s0) peuvent être indiquées. .IP "\fB\-host\fR \fIhôte\fR\fB:\fR\fIn\fR, \fB\-path\fR \fIchemin\fR" 4 .IX Item "-host hôte:n, -path chemin" Si l'option \fB\-host\fR est présente, alors la demande \s-1OCSP\s0 est envoyée à l’\fIhôte\fR sur le port \fBn\fR. \fBchemin\fR indique le nom de chemin d'accès \s-1HTTP\s0 à utiliser ou « / » par défaut. .IP "\fB\-timeout\fR \fIsecondes\fR" 4 .IX Item "-timeout secondes" Délai de connexion au répondeur \s-1OCSP\s0 en seconde. .IP "\fB\-CAfile\fR \fIfichier\fR, \fB\-CApath\fR \fIrép\fR" 4 .IX Item "-CAfile fichier, -CApath rép" Fichier ou chemin d'accès contenant les certificats de confiance. Ils sont utilisés pour vérifier la signature dans la réponse \s-1OCSP.\s0 .IP "\fB\-no_alt_chains\fR" 4 .IX Item "-no_alt_chains" Consultez la page de manuel \fBverify\fR pour plus de précisions. .IP "\fB\-verify_other\fR \fIfichier\fR" 4 .IX Item "-verify_other fichier" Fichier contenant les certificats supplémentaires où tenter de localiser le certificat de signature de réponse \s-1OCSP.\s0 Certains répondeurs omettent le certificat du signataire réel de la réponse : cette option permet de fournir le certificat nécessaire dans ces cas là. .IP "\fB\-trust_other\fR" 4 .IX Item "-trust_other" Les certificats indiqués par l'option \fB\-verify_other\fR devraient être explicitement de confiance et aucune vérification supplémentaire ne sera effectuée. C’est utile lorsque la chaîne complète de certificats répondeur n'est pas disponible ou quand faire confiance à une autorité de certification racine n'est pas approprié. .IP "\fB\-VAfile\fR \fIfichier\fR" 4 .IX Item "-VAfile fichier" Fichier contenant les certificats de répondeur explicitement approuvés. Équivalent aux options \fB\-verify_other\fR et \fB\-trust_other\fR. .IP "\fB\-noverify\fR" 4 .IX Item "-noverify" Ne pas essayer de vérifier la signature de réponse \s-1OCSP\s0 ou les valeurs de nonce. Cette option ne sera normalement utilisée que pour le débogage, car elle désactive toute vérification du certificat des répondeurs. .IP "\fB\-no_intern\fR" 4 .IX Item "-no_intern" Ignorer les certificats contenus dans la réponse \s-1OCSP\s0 lors de la recherche du certificat des signataires. Avec cette option, le certificat des signataires doit être indiqué avec les options \fB\-verify_other\fR ou \&\fB\-VAfile\fR .IP "\fB\-no_signature_verify\fR" 4 .IX Item "-no_signature_verify" Ne pas vérifier la signature de réponse \s-1OCSP.\s0 Puisque cette option tolère les signatures non valables des réponses \s-1OCSP,\s0 elle ne devrait être utilisée qu’à des fins de test. .IP "\fB\-no_cert_verify\fR" 4 .IX Item "-no_cert_verify" Ne pas vérifier du tout le certificat des signataires de réponse \&\s-1OCSP.\s0 Puisque cette option permet à la réponse \s-1OCSP\s0 d’être signée par n’importe quel certificat, elle ne devrait être utilisée qu’à des fins de test. .IP "\fB\-no_chain\fR" 4 .IX Item "-no_chain" Ne pas utiliser les certificats dans la réponse comme des certificats supplémentaires d’autorité non fiables. .IP "\fB\-no_explicit\fR" 4 .IX Item "-no_explicit" Ne pas catégoriquement croire le certificat d’autorité racine s’il est utilisé comme autorité de confiance pour une signature \s-1OCSP.\s0 .IP "\fB\-no_cert_checks\fR" 4 .IX Item "-no_cert_checks" Ne pas effectuer de contrôle supplémentaire sur le certificat des signataires de réponse \s-1OCSP. C\s0'est\-à\-dire, ne pas faire de contrôle pour vérifier que le certificat des signataires est autorisé à fournir les informations d'état nécessaires : par conséquent, cette option ne devrait être utilisée qu’à des fins de test. .IP "\fB\-validity_period\fR \fIn\fR, \fB\-status_age\fR \fIage\fR" 4 .IX Item "-validity_period n, -status_age age" Ces options indiquent la plage de temps, en seconde, qui sera tolérée dans une réponse \s-1OCSP.\s0 Chaque réponse d'état de certificat comprend un temps \&\fBnotBefore\fR et un temps \fBnotAfter\fR. Le temps actuel devrait se situer entre ces deux valeurs, mais l'intervalle entre les deux temps peut n’être que de quelques secondes. En pratique, les horloges du répondeur et des clients \s-1OCSP\s0 peuvent ne pas être précisément synchronisées et donc ce type de contrôle peut échouer. Pour éviter cela, l’option \fB\-validity_period\fR peut être utilisée pour indiquer une plage d'erreur acceptable en secondes, la valeur par défaut est de 5 minutes. .Sp Si le temps \fBnotAfter\fR est omis dans une réponse, cela signifie que de nouvelles informations d'état sont disponibles immédiatement. Dans ce cas, l'âge du champ \fBnotBefore\fR est vérifié pour voir s’il n'est pas plus vieux que \fBage\fR en seconde. Par défaut, cette vérification supplémentaire n'est pas effectuée. .IP "\fB\-md5\fR|\fB\-sha1\fR|\fB\-sha256\fR|\fB\-ripemod160\fR|..." 4 .IX Item "-md5|-sha1|-sha256|-ripemod160|..." Cette option définit l’algorithme de signature à utiliser pour l'identification de certificat dans la demande \s-1OCSP.\s0 Par défaut, \s-1SHA\-1\s0 est utilisé. .SH "OPTIONS DE SERVEUR OCSP" .IX Header "OPTIONS DE SERVEUR OCSP" .IP "\fB\-index\fR \fIfichier\fR" 4 .IX Item "-index fichier" \&\fIfichier\fR est un fichier texte d'indices au format \fBca\fR contenant des informations de révocations de certificat. .Sp Si l'option \fB\-index\fR est indiquée, l'utilitaire \fBocsp\fR est en mode répondeur, sinon il est en mode client. La ou les demandes que les répondeurs traitent peuvent être soit indiquées sur la ligne de commande (avec des options \fB\-issuer\fR et \fB\-serial\fR), soit fournies dans un fichier (en utilisant l'option \fB\-respin\fR) ou à l’aide de clients \s-1OCSP\s0 externes (si \&\fB\-port\fR ou \fB\-url\fR sont indiquées). .Sp Si l'option \fB\-index\fR est présente, alors les options \fB\-CA\fR et \fB\-rsigner\fR doivent également être présentes. .IP "\fB\-CA\fR \fIfichier\fR" 4 .IX Item "-CA fichier" Certificat d’autorité correspondant aux informations de révocations de \&\fB\-indexfile\fR. .IP "\fB\-rsigner\fR \fIfichier\fR" 4 .IX Item "-rsigner fichier" Le certificat à utiliser pour signer les réponses \s-1OCSP.\s0 .IP "\fB\-rother\fR \fIfichier\fR" 4 .IX Item "-rother fichier" Certificats supplémentaires à inclure dans la réponse \s-1OCSP.\s0 .IP "\fB\-resp_no_certs\fR" 4 .IX Item "-resp_no_certs" Ne pas inclure les certificats dans la réponse \s-1OCSP.\s0 .IP "\fB\-resp_key_id\fR" 4 .IX Item "-resp_key_id" Identifier le certificat de signataire en utilisant l'identifiant de clef, par défaut, cela consiste à utiliser le nom d’objet. .IP "\fB\-rkey\fR \fIfichier\fR" 4 .IX Item "-rkey fichier" La clef privée à utiliser pour signer les réponses \s-1OCSP :\s0 en cas d’absence, le fichier indiqué dans l'option \fB\-rsigner\fR est utilisé. .IP "\fB\-port\fR \fInum\fR" 4 .IX Item "-port num" Port où écouter les demandes \s-1OCSP.\s0 Le port peut également être indiqué par l'option \fB\-url\fR . .IP "\fB\-nrequest\fR \fIn\fR" 4 .IX Item "-nrequest n" Le serveur \s-1OCSP\s0 se terminera après avoir reçu \fIn\fR demandes, par défaut sans limite. .IP "\fB\-nmin\fR \fIn\fR, \fB\-ndays\fR \fIn\fR" 4 .IX Item "-nmin n, -ndays n" Temps en minute ou jour pendant lequel les informations fraîches de révocations ne sont pas disponibles : utilisé dans le champ \&\fBnextUpdate\fR. Si aucune option n'est présente, alors le champ \fBnextUpdate\fR est omis, ce qui signifie que les informations fraîches de révocations sont disponibles immédiatement. .SH "Vérification de réponse OCSP." .IX Header "Vérification de réponse OCSP." La réponse \s-1OCSP\s0 suit les règles précisées dans la \s-1RFC 2560.\s0 .PP Initialement, le certificat de répondeur \s-1OCSP\s0 est localisé puis la signature de la demande \s-1OCSP\s0 vérifiée en utilisant la clef publique du certificat de répondeur. .PP Ensuite, une vérification normale de certificat est effectuée sur le certificat de répondeur \s-1OCSP\s0 en construisant une chaîne de certificats dans le processus. Les emplacements de certificats de confiance utilisés pour construire la chaîne peuvent être indiqués par les options \fB\-CAfile\fR et \&\fB\-CApath\fR ou ils seront recherchés dans le répertoire standard des certificats OpenSSL. .PP Si la première vérification échoue, alors le processus de vérification \s-1OCSP\s0 s'arrête avec une erreur. .PP Sinon, le certificat d'autorité de certification émettrice dans la demande est comparé au certificat de répondeur \s-1OCSP :\s0 en cas de correspondance, la vérification \s-1OCSP\s0 réussit. .PP Sinon, le certificat d’autorité du répondeur \s-1OCSP\s0 est comparé au certificat d’autorité émis dans la demande. En cas de correspondance, et que l’utilisation de clef étendue OCSPSigning est présente dans le certificat de répondeur \s-1OCSP,\s0 la vérification \s-1OCSP\s0 réussit. .PP Sinon, si \fB\-no_explicit\fR n’est \fBpas\fR défini, la confiance de l’autorité de certification racine des autorités de certification des répondeurs \s-1OCSP\s0 est vérifiée pour la signature \s-1OCSP.\s0 Si c’est le cas, la vérification \s-1OCSP\s0 réussit. .PP Si aucune de ces vérifications ne réussit, la vérification \s-1OCSP\s0 échoue. .PP Ce que cela signifie effectivement est que si le certificat du répondeur \&\s-1OCSP\s0 est autorisé directement par l’autorité de certificat à propos de laquelle il publie des informations de révocations (et qu’il est correctement configuré), alors la vérification réussira. .PP Si le répondeur \s-1OCSP\s0 est un « répondeur global » qui peut donner des précisions sur plusieurs autorités de certification et possède sa propre chaîne de certificats distincte, alors son autorité de certification racine peut être de confiance pour la signature \s-1OCSP.\s0 Par exemple : .PP .Vb 1 \& openssl x509 \-in CAocsp.pem \-addtrust OCSPSigning \-out CAconfiance.pem .Ve .PP Alternativement, le certificat de répondeur lui\-même peut être approuvé explicitement avec l'option \fB\-VAfile\fR. .SH "NOTES" .IX Header "NOTES" Comme indiqué précédemment, la plupart des options de vérification sont à des fins de test ou de débogage. Normalement, seules les options \fB\-CApath\fR, \&\fB\-CAfile\fR et (si le répondeur est un « \s-1VA\s0 global ») \fB\-VAfile\fR doivent être utilisées. .PP Le serveur \s-1OCSP\s0 n'est utile qu’à des fins de test et de démonstration : il n'est pas vraiment utilisable comme un répondeur \s-1OCSP\s0 complet. Il ne contient qu'une gestion très basique de la requête \s-1HTTP\s0 et ne peut que gérer la forme \s-1POST\s0 des requêtes \s-1OCSP.\s0 Il gère également les demandes en série, il ne peut donc pas répondre à de nouvelles demandes avant d’avoir traité l’actuelle. Le format de fichier texte d'index de la révocation est également inefficace pour de grandes quantités de données de révocations. .PP L’application \fBocsp\fR peut être exécutée en mode répondeur à l’aide d’un script \s-1CGI\s0 en utilisant les options \fB\-respin\fR et \fB\-respout\fR. .SH "EXEMPLES" .IX Header "EXEMPLES" Créer une demande \s-1OCSP\s0 et écrire dans un fichier : .PP .Vb 2 \& openssl ocsp \-issuer émetteur.pem \-cert c1.pem \-cert c2.pem \e \& \-reqout dem.der .Ve .PP Envoyer une requête à un répondeur \s-1OCSP\s0 avec l'\s-1URL\s0 http://ocsp.example.com/, sauvegarder la réponse dans un fichier et l’afficher au format texte : .PP .Vb 2 \& openssl ocsp \-issuer émetteur.pem \-cert c1.pem \-cert c2.pem \e \& \-url http://ocsp.example.com/ \-resp_text \-respout rep.der .Ve .PP Lire une réponse \s-1OCSP\s0 et l’afficher au format texte : .PP .Vb 1 \& openssl ocsp \-respin rep.der \-text .Ve .PP Serveur \s-1OCSP\s0 sur le port 8888 utilisant une configuration \fBca\fR standard et un certificat de répondeur séparé. Toutes les demandes et les réponses sont envoyées dans un fichier : .PP .Vb 2 \& openssl ocsp \-index demoCA/index.txt \-port 8888 \-rsigner rcert.pem \e \& \-CA demoCA/cacert.pem \-text \-out log.txt .Ve .PP Comme ci-dessus mais en se terminant après traitement d'une demande : .PP .Vb 2 \& openssl ocsp \-index demoCA/index.txt \-port 8888 \-rsigner rcert.pem \e \& \-CA demoCA/cacert.pem \-nrequest 1 .Ve .PP Demander des informations d'état en utilisant une demande générée en interne : .PP .Vb 2 \& openssl ocsp \-index demoCA/index.txt \-rsigner rcert.pem \e \& \-CA demoCA/cacert.pem \-issuer demoCA/cacert.pem \-serial 1 .Ve .PP Demander des informations d’état en utilisant une demande lue dans un fichier, écrire la réponse dans un second fichier. .PP .Vb 2 \& openssl ocsp \-index demoCA/index.txt \-rsigner rcert.pem \-CA demoCA/cacert.pem \& \-reqin req.der \-respout resp.der .Ve .SH "HISTORIQUE" .IX Header "HISTORIQUE" L'option \fB\-no_alt_chains\fR a été ajoutée dans la version 1.0.2b d'OpenSSL. .SH "TRADUCTION" .IX Header "TRADUCTION" La traduction de cette page de manuel est maintenue par les membres de la liste . Veuillez signaler toute erreur de traduction par un rapport de bogue sur le paquet manpages-fr-extra.