Preifatrwydd OCSP: mae’r ymatebydd yn gweld tystysgrif, nid eich URL

Mae gwiriad statws yn gofyn un cwestiwn am un dystysgrif, ac mae’r ateb yn teithio ar ei gysylltiad ei hun. Nid yw’n cynnwys llwybr y dudalen a arweiniodd at y gwiriad. Mae trafodaethau preifatrwydd yn aml yn trin y cyfnewidiad fel ffrwd hanes pori, sy’n gor-ddweud yr hyn y mae’r cais yn ei gario ac yn tan-ddweud yr hyn y gall yr ymatebydd ei arsylwi. Darllenwch y cais cyn penderfynu beth y mae’n ei ddatgelu.

Mae’r cais yn nodi un dystysgrif

Adeiledir dynodwr tystysgrif OCSP o swyddogaeth hash, dau hash y dyroddwr a rhif cyfresol y dystysgrif darged, fel y nodir yn RFC 6960. Mae pob maes yn cyfeirio at un dystysgrif, nid at URL nac at gais HTTP.

Mae llwybr y dudalen, y llinyn ymholi ac unrhyw gynnwys ffurflen yn absennol o’r dynodwr safonol. Mae’r honiad bod yr ymatebydd yn derbyn yr union URL angen tystiolaeth o rywle heblaw’r gwiriad tystysgrif. Mae’r cais yn dal i enwi tystysgrif a phwynt, a gall yr ymatebydd wybod pa wasanaeth sy’n ei chyflwyno.

Yr hyn sydd ar goll yw’r dudalen, nid y cyd-destun cyfan. Gall gwiriad tystysgrif ynghyd â gwasanaeth hysbys ynghyd â ffynhonnell ailadroddus fod yn fwy addysgiadol nag unrhyw un ohonynt ar ei ben ei hun.

Yr hyn y gall yr ymatebydd ei arsylwi mewn gwirionedd

Mae’r ymatebydd yn gweld y cysylltiad sy’n cyrraedd ato: cyfeiriad y ffynhonnell, amseru a pha fetadata trafnidiaeth bynnag y mae ei ddefnydd yn ei chofnodi. Os yw’r cais statws yn dilyn y VPN, gall y ffynhonnell honno fod yn allanfa’r VPN yn hytrach na rhwydwaith mynediad y defnyddiwr. Peidiwch â chymryd yn ganiataol bod y cais statws yn cymryd yr un llwybr â chais y dudalen dim ond oherwydd bod y ddau yn perthyn i un sesiwn porwr.

Gwiriwch y llwybro a’r ymddygiad dilysu a gefnogir gan y cleient yn lle casglu hynny o un trywydd. Gall twnnel hollt anfon y ddau gais i gyfeiriadau gwahanol.

Yr ateb stapled yw’r patrwm cyffredin arall. Mae estyniad TLS status_request o RFC 6066 yn caniatáu i weinydd atodi ateb OCSP wrth ei handshake ei hun, felly mae’r cleient yn dilysu’r hyn a roddwyd iddo yn lle nôl statws ei hun ar gyfer y cysylltiad hwnnw. Mae’r newid hwnnw yn newid yr arsylwyr. Y tu gweinydd sy’n gwneud y nôl, ac nid yw cyfeiriad y cleient ei hun byth yn cyrraedd yr ymatebydd ar gyfer y cysylltiad hwnnw.

Gall statws gyrraedd yn stapled yn yr handshake

Nid oes unrhyw un o’r rhain yn gwarantu na fydd cleient byth yn gwneud cais dilysu arall. Mae adeiladu cadwyn, polisi statws a’r mecanweithiau a gefnogir yn amrywio yn ôl gweithrediad.

Nid yw gwyliwr tystysgrifau mewn un porwr yn ddisgrifiad o bob system weithredu a chleient VPN. Gall yr un cipiad rhwydwaith olygu pethau gwahanol o dan osodiadau dilysu gwahanol.

Mae caching yn torri’r dybiaeth un dudalen un chwiliad

Mae caching yn gwahanu llwytho tudalennau oddi wrth chwiliadau. Gall y porwr ailddefnyddio ateb am gyfnod, felly nid yw un golwg ar dudalen yn awgrymu un cais rhwydwaith.

Mae’r camgymeriad arall yr un mor gyffredin. Nid yw ateb wedi’i storio yn dweud dim am ba bryd y bydd yr adnewyddiad nesaf, a gall yr amserlen adnewyddu fod yn ddi-gysylltiad â’r dudalen sy’n cael ei hagor. Defnyddiwch ddogfennaeth gyfredol y cleient a’r polisi dilysu sydd mewn grym cyn priodoli cipiad i OCSP.

Rhaid i ateb statws dilys fodloni rheolau dilysrwydd a ffresni’r dilysydd, ac nid yw HTTP 200 yr un peth â statws da. Nid yw goramser yn ddirymiad. Mae’r canlyniadau hynny’n arwain at ymddygiad cleient gwahanol ac ni ddylid eu cyfuno’n un gwall.

Dewisiadau preifatrwydd sy’n cadw dilysu’n gyfan

Lle mae’r chwiliad ei hun yn sensitif, trafodwch yr opsiynau cyflwyno a chaching a gefnogir gyda pherchennog y system. Peidiwch â’i ddatrys trwy ddiffodd y gwiriad dirymu neu ddilysu cadwyn.

Nid yw trywydd tawelach yn gysylltiad mwy diogel. Cadwch hunaniaeth y cyfoed, dilysu’r gadwyn a’r polisi dirymu arfaethedig yn gyfan, a newidiwch y llwybr cyflwyno dim ond trwy opsiwn y mae’r defnydd yn ei gefnogi. Cofnodwch pa opsiwn a ddewiswyd a phwy sy’n berchen arno.

Pan fydd chwiliad yn ymddangos yn annisgwyl, enwch y derbynnydd, y llwybr a’r gweithrediad tystysgrif ar wahân. Mae lawrlwytho oddi wrth y dyroddwr, ymholiad statws a chais y dudalen yn dri digwyddiad. Mae eu trin fel un yn gwneud yr adolygiad preifatrwydd yn anghywir ac yn cuddio pa blaid a ddysgodd rywbeth mewn gwirionedd. Dechreuwch o feysydd y protocol a gweithiwch tuag allan at lwybr y rhwydwaith.