OCSP yanıtı, sertifikanın iptal durumunu bildiren imzalı bir mesajdır. Yanıtı imzalayan sertifika geçersiz veya yetkisiz bulunursa Firefox bu hatayı gösterir.
Kavram: yanıtı kim imzalar?
Yanıt ya doğrudan sertifikayı veren CA tarafından ya da CA'nın yetkilendirdiği "delegated responder" sertifikasıyla imzalanır. Yetkili yanıtlayıcı sertifikası CA tarafından verilmeli, geçerli olmalı ve OCSP imzalama kullanımını (extendedKeyUsage) içermelidir.
Olası nedenler
- Yanıtlayıcı sertifikasının süresi dolmuş ya da henüz geçerli değil
- Sunucudaki zincir dosyası eksik veya yanlış CA'ya ait
- Araya giren proxy/güvenlik cihazı OCSP trafiğini değiştiriyor
- İstemci saati hatalı
Adım adım çözüm
- Saatinizi senkronize edin ve başka ağdan deneyin.
- Stapling yanıtını ve imzalayanı inceleyin:
openssl s_client -connect ornek.com:443 -servername ornek.com -status -showcerts- Zincir dosyanızın, sertifikayı veren CA'nın güncel ara sertifikalarını içerdiğini doğrulayın; eksikse CA'dan güncel paketi alın.
- Stapling'i geçici kapatıp hatanın kaybolup kaybolmadığına bakın; kaybolursa sorun staple yanıtındadır. Nginx'te bu için
ssl_stapling off;kullanılır. - Sorun CA'nın yanıtlayıcısındaysa CA ile iletişime geçin.
Önleme
Zinciri her yenilemede tam kurun. Sertifikanızı SSL Checker ile denetleyin; yeni sertifika gerekiyorsa SSL sertifikası seçeneklerine göz atın.
Delegated responder ayrıntısı
Bazı CA'lar OCSP yanıtlarını, ana imzalama anahtarını korumak için ayrı bir yanıtlayıcı sertifikasıyla imzalar. Bu sertifikanın CA tarafından verilmiş, güncel ve ilgili kullanım bayrağını (id-kp-OCSPSigning) taşıyan bir sertifika olması beklenir. Sertifika yanıt içinde gömülü gelir ve tarayıcı bu zinciri doğrular.
- Hata yalnızca Firefox'ta görülüyorsa tarayıcının kendi OCSP doğrulama davranışı ve önbelleği etkili olabilir.
- Kurumsal ağlarda OCSP trafiğini yeniden yazan güvenlik cihazları imzayı bozabilir.
- CA tarafında geçici bir yapılandırma hatası da mümkündür; bu durumda saatler içinde kendiliğinden düzelebilir.
Kalıcı sorunlarda sertifika sağlayıcınıza hata çıktısıyla birlikte bildirim yapın.