OCSP-privaatheid: die beantwoorder sien 'n sertifikaat, nie jou URL nie

'n Statuskontrole vra een vraag oor een sertifikaat, en die antwoord reis op sy eie verbinding. Dit bevat nie die bladsypad wat na die kontrole gelei het nie. Privaatheidbesprekings behandel die uitruiling dikwels as 'n blaai-geskiedenisvoer, wat oordryf wat die versoek dra en onderskat wat die beantwoorder kan sien. Lees die versoek voordat jy besluit wat dit onthul.

Die versoek identifiseer een sertifikaat

Die OCSP-sertifikaatidentifiseerder word uit 'n hashfunksie, twee uitreiker-hashes en die reeksnommer van die teikensertifikaat gebou, soos in RFC 6960 gespesifiseer. Elke veld wys na een sertifikaat, nie na 'n URL of 'n HTTP-versoek nie.

Die bladsypad, die navraagstring en enige vorminhoud ontbreek in die standaardidentifiseerder. 'n Bewering dat die beantwoorder die presiese URL ontvang, het bewyse van iets anders as die sertifikaatkontrole nodig. Die versoek noem steeds 'n sertifikaat en 'n oomblik, en die beantwoorder mag weet watter diens dit aanbied.

Wat ontbreek, is die bladsy, nie die hele konteks nie. 'n Sertifikaatkontrole plus 'n bekende diens plus 'n herhaalde bron kan meer insiggewend wees as enigeen daarvan alleen.

Wat die beantwoorder werklik kan sien

Die beantwoorder sien die verbinding wat hom bereik: bronadres, tydsberekening en watter vervoermetadata sy ontplooiing ook al aanteken. As die statusversoek die VPN volg, kan daardie bron die VPN-uitgang wees eerder as die gebruiker se toegangsnetwerk. Moenie aanneem die statusversoek volg dieselfde pad as die bladsyversoek net omdat albei aan een blaaier-sessie behoort nie.

Kontroleer die kliënt se ondersteunde roetering en verifikasiegedrag eerder as om dit uit 'n enkele spoor af te lei. 'n Verdeelde tonnel kan die twee versoeke in verskillende rigtings stuur.

'n Vasgehegte antwoord is die ander algemene patroon. Die TLS status_request-uitbreiding uit RFC 6066 laat 'n bediener 'n OCSP-antwoord aan sy eie handdruk heg, sodat die kliënt valideer wat hy gekry het eerder as om self status vir daardie verbinding te haal. Daardie verskuiwing verander die waarnemer. Die bedienerkant doen die haal, en die kliënt se eie adres bereik nooit die beantwoorder vir daardie verbinding nie.

Status kan vasgeheg in die handdruk aankom

Niks hiervan waarborg dat 'n kliënt nooit nog 'n valideringsversoek maak nie. Kettingbou, statusbeleid en ondersteunde meganismes verskil per implementering.

'n Sertifikaatkyker in een blaaier is nie 'n beskrywing van elke bedryfstelsel en VPN-kliënt nie. Dieselfde netwerkopname kan onder verskillende valideringsinstellings verskillende dinge beteken.

Kasberging breek die een-bladsy-een-soektog-aanname

Kasberging ontkoppel bladsylaaie van soektogte. Die blaaier kan 'n antwoord vir 'n tydperk hergebruik, so een bladsybesoek beteken nie een netwerkversoek nie.

Die teenoorgestelde fout is net so algemeen. 'n Gekaste antwoord sê niks oor wanneer die volgende verversing plaasvind nie, en die verversingskedule kan onverwant wees aan die bladsy wat oopgemaak word. Gebruik die kliënt se huidige dokumentasie en die verifikasiebeleid wat geld voordat jy 'n opname aan OCSP toeskryf.

'n Geldige statusantwoord moet aan die verifieerder se egtheid- en varsheidsreëls voldoen, en 'n HTTP 200 is nie dieselfde as 'n goeie status nie. 'n Time-out is nie 'n herroeping nie. Daardie uitkomste lei tot verskillende kliëntgedrag en moet nie in een fout saamgevat word nie.

Privaatheidkeuses wat validering ongeskonde hou

Waar die soektog self sensitief is, bespreek ondersteunde aflewerings- en kasbergingsopsies met die stelsel-eienaar. Moenie dit oplos deur herroepingskontrole of kettingvalidering af te skakel nie.

'n Stillere spoor is nie 'n veiliger verbinding nie. Hou eweknie-identiteit, kettingvalidering en die beoogde herroepingsbeleid ongeskonde, en verander die afleweringspad slegs deur 'n opsie wat die ontplooiing ondersteun. Teken aan watter opsie gekies is en wie dit besit.

Wanneer 'n soektog onverwags opduik, noem die ontvanger, die roete en die sertifikaatbewerking afsonderlik. 'n Uitreiker-aflaai, 'n statusnavraag en die bladsyversoek is drie gebeure. Om dit as een te behandel maak die privaatheidsoorsig onakkuraat en verberg watter party werklik iets geleer het. Begin by die protokolvelde en werk uitwaarts na die netwerkpad.