如何在Boost Asio SSL服务器中实现客户端证书吊销？

方法1：使用证书吊销列表（CRL） #

既然你用的是自签名CA，首先可以通过OpenSSL生成并更新CRL，然后让Boost Asio服务器加载CRL并在证书验证时检查客户端证书是否被吊销。

步骤： #

1. 用OpenSSL生成/更新CRL：
   首次生成CRL：

openssl ca -gencrl -out ca.crl -keyfile ca.key -cert ca.crt

吊销客户端证书并更新CRL：

openssl ca -revoke client.crt -keyfile ca.key -cert ca.crt
openssl ca -gencrl -out ca.crl -keyfile ca.key -cert ca.crt

2. 在Boost Asio服务器中集成CRL验证：
   初始化SSL context时加载CA证书和CRL，设置强制客户端证书验证，并通过自定义回调检查CRL状态：

boost::asio::ssl::context ctx(boost::asio::ssl::context::tls_server);

// 加载CA根证书
ctx.load_verify_file("ca.crt");
// 将CRL加载到OpenSSL的证书存储中
X509_STORE* store = ctx.native_handle()->cert_store;
if (!X509_STORE_load_crl_file(store, "ca.crl", X509_FILETYPE_PEM)) {
    // 处理CRL加载失败逻辑，比如日志输出或终止初始化
}

// 设置验证模式：要求客户端提供证书，且验证证书有效性
ctx.set_verify_mode(boost::asio::ssl::verify_peer | boost::asio::ssl::verify_fail_if_no_peer_cert);

// 自定义验证回调，检查证书是否被CRL吊销
ctx.set_verify_callback([](bool preverified, boost::asio::ssl::verify_context& ctx) {
    if (!preverified) return false;

    // 获取当前待验证的客户端证书
    X509* cert = X509_STORE_CTX_get_current_cert(ctx.native_handle());
    if (!cert) return false;

    // 调用OpenSSL的证书验证逻辑，自动检查CRL
    int verify_result = X509_verify_cert(ctx.native_handle());
    if (verify_result != 1) {
        long err_code = X509_STORE_CTX_get_error(ctx.native_handle());
        if (err_code == X509_V_ERR_CERT_REVOKED) {
            // 证书已被吊销，拒绝连接
            return false;
        }
        // 其他验证错误，同样拒绝
        return false;
    }
    return true;
});

如果需要动态更新CRL，可定期重新加载CRL文件到X509_STORE，无需重启服务器。

方法2：自定义内存黑名单（实时吊销） #

如果不需要依赖CRL这类PKI组件，可维护一个线程安全的客户端证书黑名单（存储证书序列号或SHA256指纹），在验证回调中实时检查。

实现： #

1. 定义线程安全的黑名单容器：

#include <mutex>
#include <unordered_set>
#include <string>

std::mutex blacklist_mtx;
std::unordered_set<std::string> revoked_cert_fingerprints;

2. 提供吊销/恢复证书的接口：

void revoke_cert(const std::string& fingerprint) {
    std::lock_guard<std::mutex> lock(blacklist_mtx);
    revoked_cert_fingerprints.insert(fingerprint);
}

void restore_cert(const std::string& fingerprint) {
    std::lock_guard<std::mutex> lock(blacklist_mtx);
    revoked_cert_fingerprints.erase(fingerprint);
}

3. 在SSL验证回调中检查黑名单：

ctx.set_verify_callback([](bool preverified, boost::asio::ssl::verify_context& ctx) {
    if (!preverified) return false;

    X509* cert = X509_STORE_CTX_get_current_cert(ctx.native_handle());
    if (!cert) return false;

    // 计算证书的SHA256指纹
    unsigned char digest[SHA256_DIGEST_LENGTH];
    unsigned int digest_len;
    X509_digest(cert, EVP_sha256(), digest, &digest_len);

    char fingerprint[65]; // SHA256指纹为64个十六进制字符+结束符
    for (int i = 0; i < digest_len; ++i) {
        sprintf(&fingerprint[i*2], "%02x", digest[i]);
    }
    fingerprint[64] = '\0';

    // 检查指纹是否在黑名单中
    std::lock_guard<std::mutex> lock(blacklist_mtx);
    if (revoked_cert_fingerprints.count(fingerprint)) {
        return false;
    }

    // 额外验证证书链的有效性（可选，确保证书由信任CA签发）
    return X509_verify_cert(ctx.native_handle()) == 1;
});

这种方式的优势是可以实时添加/移除吊销条目，无需生成CRL，适合小规模或快速迭代的场景。

方法3：OCSP在线验证 #

如果需要符合PKI标准的实时吊销验证，可以搭建OCSP服务器（比如使用OpenSSL的ocspd），让Boost Asio服务器在验证时查询OCSP服务获取证书状态。

核心思路： #

在验证回调中，提取客户端证书和签发CA证书，构建OCSP请求并发送到OCSP服务器，解析响应后判断证书是否吊销。示例代码框架：

ctx.set_verify_callback([](bool preverified, boost::asio::ssl::verify_context& ctx) {
    if (!preverified) return false;

    X509* client_cert = X509_STORE_CTX_get_current_cert(ctx.native_handle());
    X509* issuer_cert = X509_STORE_CTX_get_issuer(ctx.native_handle(), client_cert);
    if (!client_cert || !issuer_cert) return false;

    // 构建OCSP请求
    OCSP_REQUEST* ocsp_req = OCSP_REQUEST_new();
    OCSP_CERTID* cert_id = OCSP_cert_to_id(EVP_sha1(), client_cert, issuer_cert);
    OCSP_request_add0_id(ocsp_req, cert_id);

    // 发送OCSP请求到OCSP服务器（需复用Boost Asio的socket实现网络请求）
    // 解析OCSP响应，检查证书状态
    // 此处省略OCSP请求/响应的具体实现，可参考OpenSSL的OCSP客户端API

    // 若响应显示证书已吊销，返回false拒绝连接

    OCSP_REQUEST_free(ocsp_req);
    return true;
});

这种方式适合企业级PKI场景，但需要额外维护OCSP服务器。

内容的提问来源于stack exchange，提问作者Mecanik