クライアント証明書の失効判定方法について

nginxのサーバへクライアント認証機能を追加していますが、クライアント証明書を失効した場合は勿論アクセスできない状態になる筈ですがこの設定方法がわからず手詰まりの状態です。

以下、設定した内容（伏せている情報有）になります。

conf
1server {
2
3・・・省略
4
5    ssl_verify_client optional;
6    ssl_crl http://ca.ocsp.example.com;
7
8    if ($ssl_client_serial !~* ^(XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX)$) {
9        return 403;
10    }
11
12・・・省略
13
14}

私、個人的な理解として「ssl_crl」に失効リストのURLを記載し、このURLは証明書のOCSPサーバURLという認識です。
この認識に誤りがあるかどうかを含め曖昧な状態でございます。

情報不足が多々あるかと推測しますが、何卒情報提供の程宜しくお願い致します。

尚、クライアント証明書は、自身のサーバへ発行した、いわゆるオレオレ証明書ではなく第三の認証機関が発行する証明書になります。
参考URL:https://comodo.jp/products/smime.html

行動規範の内容に同意します

回答2件

ssl_stapling
ssl_stapling_responder
が該当すると思います。

投稿2020/02/22 08:22

TaichiYanagiya

総合スコア12173

Module ngx_http_ssl_module #ssl_crl

上記をマニュアルを見る限り、ssl_crlで指定するのはファイルのパスです。つまり、証明書失効リスト(CRL)は予めダウンロードしてサーバー側に置いておいて、パスを指定するということになります。URLを指定しても、自動的に見に行くと言うことはないようです。また、他の設定と同様と考えられるため、ファイルを更新した場合はnginxの再起動またはリロードなどで設定ファイルを再読込する必要があると考えられます。

次のような動作をスクリプトを作成し、定期的に走らせるしか方法はないかと思われます。