David Z：使用OCSP Stapling增强PostgreSQL的TLS安全性
内容提要
本文介绍了如何使用OCSP Stapling来改善PostgreSQL的安全性。OCSP Stapling是一种在SSL/TLS协议中使用的方法，服务器在握手过程中主动发送最新的OCSP响应和自己的证书，使客户端能够验证证书的状态而无需直接联系OCSP响应服务器。使用OCSP Stapling可以增强用户信任和实时证书验证、提高隐私保护、减少延迟和提高资源利用效率。文章还介绍了设置OCSP环境和验证TLS连接的步骤。
延伸解读
OCSP Stapling 如何提升 PostgreSQL 的 TLS 安全性
传统 OCSP 检查中，客户端需直接联系 OCSP 响应服务器，可能暴露隐私并增加延迟。OCSP Stapling 由 PostgreSQL 服务器在 TLS 握手时主动提供预取的 OCSP 响应，客户端无需额外请求即可验证证书状态。这既保护了客户端隐私，又减少了握手延迟，同时通过服务器缓存响应降低了对 CA 基础设施的负载。
实验环境搭建的关键步骤
要体验 OCSP Stapling，需使用 OpenSSL 模拟 OCSP 响应服务器。首先创建自签名根 CA、OCSP 响应签名证书和 PostgreSQL 服务器证书。然后启动 OCSP 响应器，为服务器证书生成状态为 'good' 和 'revoked' 的 OCSP 响应文件。最后将补丁应用到 PostgreSQL 主分支，编译并配置 ssl_ocsp_file 指向响应文件。
客户端验证行为与配置影响
使用 psql 客户端连接时，通过 ssl_ocsp_stapling=1 要求服务器提供 OCSP 装订。若证书状态为 'good'，连接成功；若为 'revoked'，连接失败并报错 'ocsp callback failure'。但若客户端设置 ssl_ocsp_stapling=0，即使证书已吊销，连接仍会成功，因为客户端不要求 OCSP 检查。这突显了客户端配置对安全策略的重要性。
Q&A
OCSP Stapling 是什么？它在 PostgreSQL 的 TLS 连接中起什么作用？
OCSP Stapling 是一种在 SSL/TLS 协议中使用的方法，服务器在握手过程中主动发送最新的 OCSP 响应和自己的证书，使客户端能够验证证书的状态而无需直接联系 OCSP 响应服务器。在 PostgreSQL 中，它用于增强 TLS 连接的安全性，提供实时证书验证。
使用 OCSP Stapling 有哪些好处？
使用 OCSP Stapling 可以增强用户信任和实时证书验证、提高隐私保护、减少延迟和提高资源利用效率。具体来说，它允许客户端实时检查证书状态，避免客户端直接联系 OCSP 响应器从而保护隐私，消除额外的往返延迟，并通过缓存 OCSP 响应减轻 OCSP 响应器和 CA 的负载。
如何为 PostgreSQL 设置 OCSP 环境？
设置 OCSP 环境需要以下步骤：首先创建自签名根 CA、OCSP 响应器证书和 PostgreSQL 服务器证书；然后使用 OpenSSL 工具启动 OCSP 响应器并生成 OCSP 响应；最后在 PostgreSQL 服务器上应用补丁并更新配置，指定 ssl_ocsp_file 参数。
在 PostgreSQL 服务器上如何配置 OCSP Stapling？
在 PostgreSQL 服务器上配置 OCSP Stapling 需要从 GitHub 获取补丁并应用到 PostgreSQL 主分支，编译安装后，在 postgresql.conf 中设置 ssl_ocsp_file 参数指向 OCSP 响应文件，例如 ssl_ocsp_file = '_server.resp'，并确保其他 SSL 参数如 ssl_cert_file 等正确配置。
如何使用 psql 客户端验证 PostgreSQL 服务器的 TLS 连接和证书状态？
使用 psql 客户端时，可以通过连接字符串指定 sslmode=verify-ca、sslrootcert=rootCA.crt 和 ssl_ocsp_stapling=1 来验证服务器证书状态。如果证书状态为 'good'，连接成功；如果状态为 'revoked'，连接失败并报错 'SSL error: ocsp callback failure'。
如果 PostgreSQL 服务器证书被吊销，但客户端不要求 OCSP Stapling，连接会怎样？
如果客户端不要求 OCSP Stapling（设置 ssl_ocsp_stapling=0），即使服务器证书已被吊销，连接仍然可以成功建立，因为客户端没有进行 OCSP 检查。
