OCSP məxfiliyi: cavabverən sertifikatı görür, URL-inizi deyil

Status yoxlaması bir sertifikat haqqında bir sual verir və cavab öz bağlantısı ilə gedir. O, yoxlamaya səbəb olan səhifə yolunu ehtiva etmir. Məxfilik müzakirələri bu mübadiləni çox vaxt brauzer tarixçəsi axını kimi qələmə verir, bu da sorğunun daşıdığını şişirdir və cavabverənin müşahidə edə biləcəyini azaldır. Nəyi açdığına qərar verməzdən əvvəl sorğunu oxuyun.

Sorğu bir sertifikatı müəyyən edir

OCSP sertifikat identifikatoru RFC 6960-da göstərildiyi kimi heş funksiyası, iki buraxan heşi və hədəf sertifikatın seriya nömrəsindən qurulur. Hər sahə bir sertifikata işarə edir, URL-ə və ya HTTP sorğusuna deyil.

Səhifə yolu, sorğu sətri və hər hansı forma məzmunu standart identifikatorda yoxdur. Cavabverənin dəqiq URL-i aldığı iddiası sertifikat yoxlamasından başqa bir yerdən sübut tələb edir. Sorğu yenə də bir sertifikat və bir an adlandırır və cavabverən onu hansı xidmətin təqdim etdiyini bilə bilər.

Çatışmayan səhifədir, bütün kontekst deyil. Sertifikat yoxlaması üstəgəl tanınan xidmət üstəgəl təkrarlanan mənbə bunlardan hər hansı birindən daha çox məlumat verə bilər.

Cavabverənin həqiqətən müşahidə edə bildikləri

Cavabverən ona çatan bağlantını görür: mənbə ünvanı, vaxt və yerləşdirməsinin qeyd etdiyi istənilən nəqliyyat metadatası. Əgər status sorğusu VPN-dən keçirsə, bu mənbə istifadəçinin giriş şəbəkəsi deyil, VPN çıxışı ola bilər. Yalnız hər ikisi bir brauzer sessiyasına aid olduğu üçün status sorğusunun səhifə sorğusu ilə eyni yolla getdiyini fərz etməyin.

Tək bir izdən nəticə çıxarmaq əvəzinə müştərinin dəstəklədiyi marşrutlaşdırma və yoxlama davranışını yoxlayın. Bölünmüş tunel iki sorğunu fərqli istiqamətlərə göndərə bilər.

Yapışdırılmış cavab digər geniş yayılmış nümunədir. RFC 6066-dan TLS status_request uzantısı serverə öz əl sıxışmasına OCSP cavabı əlavə etməyə imkan verir, beləliklə müştəri həmin bağlantı üçün statusu özü gətirmək əvəzinə veriləni yoxlayır. Bu dəyişiklik müşahidəçini dəyişir. Gətirməni server tərəfi edir və müştərinin öz ünvanı həmin bağlantı üçün cavabverənə heç vaxt çatmır.

Status əl sıxışmasında yapışdırılmış gələ bilər

Bunların heç biri müştərinin bir daha heç vaxt yoxlama sorğusu göndərməyəcəyinə zəmanət vermir. Zəncir qurma, status siyasəti və dəstəklənən mexanizmlər tətbiqdən asılı olaraq dəyişir.

Bir brauzerdəki sertifikat görüntüləyicisi hər əməliyyat sistemi və VPN müştərisinin təsviri deyil. Eyni şəbəkə tutması fərqli yoxlama parametrləri altında fərqli şeylər ifadə edə bilər.

Keşləmə bir səhifə bir axtarış fərziyyəsini pozur

Keşləmə səhifə yükləmələrini axtarışlardan ayırır. Brauzer cavabı bir müddət təkrar istifadə edə bilər, yəni bir səhifə baxışı bir şəbəkə sorğusu demək deyil.

Əks səhv də eyni dərəcədə yayılmışdır. Keşlənmiş cavab növbəti yeniləmənin nə vaxt olacağı barədə heç nə demir və yeniləmə cədvəli açılan səhifə ilə əlaqəsiz ola bilər. Tutmanı OCSP-yə aid etməzdən əvvəl müştərinin cari sənədlərini və qüvvədə olan yoxlama siyasətini istifadə edin.

Etibarlı status cavabı yoxlayıcının həqiqilik və təzəlik qaydalarına cavab verməlidir və HTTP 200 yaxşı statusla eyni deyil. Vaxt aşımı ləğvetmə deyil. Bu nəticələr fərqli müştəri davranışına gətirib çıxarır və bir səhvə birləşdirilməməlidir.

Yoxlamanı toxunulmaz saxlayan məxfilik seçimləri

Axtarışın özü həssas olduğu yerlərdə dəstəklənən çatdırılma və keşləmə seçimlərini sistem sahibi ilə müzakirə edin. Bunu ləğvetmə yoxlamasını və ya zəncir yoxlamasını söndürməklə həll etməyin.

Daha sakit iz daha təhlükəsiz bağlantı demək deyil. Həmkar kimliyini, zəncir yoxlamasını və nəzərdə tutulan ləğvetmə siyasətini toxunulmaz saxlayın və çatdırılma yolunu yalnız yerləşdirmənin dəstəklədiyi seçim vasitəsilə dəyişin. Hansı seçimin seçildiyini və ona kimin sahib olduğunu qeyd edin.

Axtarış gözlənilmədən görünəndə qəbuledici, marşrut və sertifikat əməliyyatını ayrı-ayrılıqda adlandırın. Buraxan endirməsi, status sorğusu və səhifə sorğusu üç hadisədir. Onları bir kimi qəbul etmək məxfilik baxışını qeyri-dəqiq edir və hansı tərəfin həqiqətən nəsə öyrəndiyini gizlədir. Protokol sahələrindən başlayın və şəbəkə yoluna doğru xaricə doğru irəliləyin.