خصوصية OCSP: المستجيب يرى شهادة لا عنوان URL الخاص بك

يفحص طلب الحالة سؤالًا واحدًا عن شهادة واحدة، ويأتي الجواب عبر اتصال خاص به. وهو لا يحتوي على مسار الصفحة الذي أدى إلى الفحص. كثيرًا ما تتعامل نقاشات الخصوصية مع هذا التبادل كأنه سجل تصفح، وهذا يبالغ في تقدير ما يحمله الطلب ويقلل مما يمكن للمستجيب ملاحظته. اقرأ الطلب قبل أن تقرر ما يكشفه.

الطلب يحدد شهادة واحدة

يُبنى معرّف شهادة OCSP من دالة تجزئة وتجزئتين للمُصدر والرقم التسلسلي للشهادة المستهدفة، وفقًا لما تحدده RFC 6960. كل حقل يشير إلى شهادة واحدة، لا إلى عنوان URL أو طلب HTTP.

مسار الصفحة وسلسلة الاستعلام وأي محتوى نماذج غائبة عن المعرّف القياسي. الادعاء بأن المستجيب يتلقى عنوان URL الدقيق يحتاج إلى دليل من مصدر آخر غير فحص الشهادة. لا يزال الطلب يذكر شهادة ولحظة، وقد يعرف المستجيب أي خدمة تقدّمها.

الغائب هو الصفحة، وليس السياق كله. فحص شهادة مع خدمة معروفة مع مصدر متكرر قد يكون أكثر إفادة من أي واحد منها منفردًا.

ما يمكن للمستجيب ملاحظته فعلاً

يرى المستجيب الاتصال الذي يصل إليه: عنوان المصدر والتوقيت وأي بيانات وصفية للنقل يسجلها نشرُه. إذا كان طلب الحالة يمر عبر VPN، فقد يكون ذلك المصدر مخرج VPN بدلًا من شبكة وصول المستخدم. لا تفترض أن طلب الحالة يسلك المسار نفسه الذي يسلكه طلب الصفحة لمجرد أن كليهما ينتمي إلى جلسة متصفح واحدة.

افحص سلوك التوجيه والتحقق المدعوم في العميل بدلًا من استنتاجه من أثر واحد. يمكن للنفق المنقسم أن يرسل الطلبين في اتجاهين مختلفين.

الاستجابة المثبتة هي النمط الشائع الآخر. تتيح إضافة TLS status_request من RFC 6066 للخادم تثبيت استجابة OCSP في مصافحته، فيتحقق العميل مما أُعطي بدلًا من جلب الحالة بنفسه لذلك الاتصال. هذا التحول يغيّر المراقب. جانب الخادم هو من يجلب، وعنوان العميل نفسه لا يصل إلى المستجيب لذلك الاتصال.

قد تصل الحالة مثبتة في المصافحة

لا شيء من هذا يضمن أن العميل لن يرسل طلب تحقق آخر أبدًا. بناء السلسلة وسياسة الحالة والآليات المدعومة تختلف بحسب التنفيذ.

عارض الشهادات في متصفح واحد ليس وصفًا لكل نظام تشغيل وعميل VPN. يمكن أن يعني التقاط الشبكة نفسه أشياء مختلفة تحت إعدادات تحقق مختلفة.

التخزين المؤقت يبطل افتراض بحث لكل صفحة

يفصل التخزين المؤقت تحميل الصفحات عن عمليات البحث. قد يعيد المتصفح استخدام استجابة لفترة، لذا فإن مشاهدة صفحة واحدة لا تعني طلب شبكة واحدًا.

الخطأ المعاكس شائع بالقدر نفسه. الاستجابة المخزنة لا تقول شيئًا عن وقت التحديث التالي، وقد يكون جدول التحديث غير مرتبط بالصفحة التي تُفتح. استخدم وثائق العميل الحالية وسياسة التحقق المعمول بها قبل أن تنسب أي التقاط إلى OCSP.

يجب أن تستوفي استجابة الحالة الصالحة قواعد الأصالة والحداثة لدى المتحقق، وHTTP 200 ليس مثل حالة جيدة. المهلة ليست إبطالًا. تؤدي تلك النتائج إلى سلوك عميل مختلف ولا ينبغي دمجها في خطأ واحد.

خيارات الخصوصية التي تحفظ التحقق سليمًا

حيث يكون البحث نفسه حساسًا، ناقش خيارات التسليم والتخزين المؤقت المدعومة مع مالك النظام. لا تحلها بإيقاف فحص الإبطال أو التحقق من السلسلة.

الأثر الأهدأ ليس اتصالًا أكثر أمانًا. أبقِ هوية النظير والتحقق من السلسلة وسياسة الإبطال المقصودة سليمة، وغيّر مسار التسليم فقط عبر خيار يدعمه النشر. سجّل الخيار الذي اختير ومن يملكه.

عندما يظهر بحث بشكل غير متوقع، سمِّ المتلقي والمسار وعملية الشهادة كلًا على حدة. تنزيل المُصدر واستعلام الحالة وطلب الصفحة ثلاثة أحداث. التعامل معها كحدث واحد يجعل مراجعة الخصوصية غير دقيقة ويخفي أي طرف تعلّم شيئًا فعلاً. ابدأ من حقول البروتوكول واتجه للخارج نحو مسار الشبكة.