2

我一直在引用https://github.com/openssl/openssl/blob/master/apps/ocsp.c来​​创建我自己的 OCSP 实现，并在我从 OCSP 响应者那里收到 OCSP 基本响应后验证它。但不知何故，我运行的每次迭代，我都会不断收到错误error:27069065:OCSP routines:OCSP_basic_verify:certificate verify error:ocsp_vfy.c:138:Verify error:unable to get issuer certificate。请注意，我有要验证的证书和颁发者证书的 X509 数据，我正在使用以下代码来验证响应：

         OCSP_BASICRESP *br = OCSP_response_get1_basic(resp); // where resp is the response received.
         STACK_OF(X509)* certs = sk_X509_new_null();
         if (!sk_X509_push(certs, issuer)) // issuer X509 known
             printf("Failed to add issuer");

         X509_STORE* store = X509_STORE_new();
         X509_LOOKUP *lookup;
         lookup = X509_STORE_add_lookup(store, X509_LOOKUP_file());
         lookup = X509_STORE_add_lookup(store, X509_LOOKUP_hash_dir());
         X509_STORE_add_cert(store,issuer);
         ret_val = OCSP_basic_verify(br, certs, store, 0);
         if (ret_val <= 0) {
             printf("Response Verify Failure: %d", ret_val);

对于上面的代码，我一直得到ret_val0 并且上面提到的错误正在被记录。但是，我从 OCSP 响应者那里得到了正确的响应，并且证书状态良好。唯一剩下的就是修复对OCSP_basic_verify. 有人可以指出我可能出错的地方吗？谢谢。

4

1 回答 1

0

@Castaglia 提供的答案。

问题实际上是 OCSP_basic_verify 一直循环直到找到根 CA。但是由于我添加的证书只是中间证书，因此验证失败。一旦我添加了整个链， OCSP_basic_verify 调用开始通过

于 2018-01-24T06:09:57.350 回答