Απόρρητο του OCSP: ο αποκρινόμενος βλέπει πιστοποιητικό, όχι το URL σας

Ένας έλεγχος κατάστασης θέτει μία ερώτηση για ένα πιστοποιητικό και η απάντηση ταξιδεύει σε δική της σύνδεση. Δεν περιέχει τη διαδρομή της σελίδας που οδήγησε στον έλεγχο. Οι συζητήσεις για το απόρρητο αντιμετωπίζουν συχνά την ανταλλαγή ως ροή ιστορικού περιήγησης, που υπερεκτιμά τι μεταφέρει το αίτημα και υποτιμά τι μπορεί να παρατηρήσει ο αποκρινόμενος. Διαβάστε το αίτημα πριν αποφασίσετε τι αποκαλύπτει.

Το αίτημα προσδιορίζει ένα πιστοποιητικό

Το αναγνωριστικό πιστοποιητικού OCSP χτίζεται από συνάρτηση κατακερματισμού, δύο κατακερματισμούς του εκδότη και τον σειριακό αριθμό του πιστοποιητικού προορισμού, όπως ορίζει το RFC 6960. Κάθε πεδίο δείχνει ένα πιστοποιητικό, όχι ένα URL ή ένα αίτημα HTTP.

Η διαδρομή της σελίδας, το αλφαριθμητικό ερωτήματος και οποιοδήποτε περιεχόμενο φόρμας απουσιάζουν από το τυπικό αναγνωριστικό. Ο ισχυρισμός ότι ο αποκρινόμενος λαμβάνει το ακριβές URL χρειάζεται αποδείξεις από αλλού και όχι από τον έλεγχο πιστοποιητικού. Το αίτημα εξακολουθεί να ονομάζει πιστοποιητικό και μια στιγμή, και ο αποκρινόμενος μπορεί να γνωρίζει ποια υπηρεσία το παρουσιάζει.

Αυτό που λείπει είναι η σελίδα, όχι ολόκληρο το πλαίσιο. Ένας έλεγχος πιστοποιητικού μαζί με μια γνωστή υπηρεσία μαζί με μια επαναλαμβανόμενη πηγή μπορεί να δώσει περισσότερα από οποιοδήποτε από αυτά μόνο του.

Τι μπορεί πραγματικά να παρατηρήσει ο αποκρινόμενος

Ο αποκρινόμενος βλέπει τη σύνδεση που φτάνει σε αυτόν: διεύθυνση πηγής, χρονισμό και όποια μεταδεδομένα μεταφοράς καταγράφει η ανάπτυξή του. Αν το αίτημα κατάστασης ακολουθεί το VPN, αυτή η πηγή μπορεί να είναι η έξοδος του VPN και όχι το δίκτυο πρόσβασης του χρήστη. Μην υποθέσετε ότι το αίτημα κατάστασης παίρνει την ίδια διαδρομή με το αίτημα της σελίδας μόνο επειδή και τα δύο ανήκουν σε μία συνεδρία περιηγητή.

Ελέγξτε την υποστηριζόμενη δρομολόγηση και τη συμπεριφορά επαλήθευσης του πελάτη αντί να τις συνάγετε από ένα μόνο ίχνος. Μια διαχωρισμένη σήραγγα μπορεί να στείλει τα δύο αιτήματα σε διαφορετικές κατευθύνσεις.

Η επικολλημένη απάντηση είναι το άλλο συνηθισμένο μοτίβο. Η επέκταση TLS status_request από το RFC 6066 επιτρέπει σε έναν διακομιστή να επισυνάψει απάντηση OCSP στη δική του χειραψία, ώστε ο πελάτης να επαληθεύει αυτό που του δόθηκε αντί να ανακτά ο ίδιος κατάσταση για αυτή τη σύνδεση. Αυτή η μετατόπιση αλλάζει τον παρατηρητή. Η πλευρά του διακομιστή κάνει την ανάκτηση και η διεύθυνση του ίδιου του πελάτη δεν φτάνει ποτέ στον αποκρινόμενο για αυτή τη σύνδεση.

Η κατάσταση μπορεί να φτάσει επικολλημένη στη χειραψία

Τίποτε από αυτά δεν εγγυάται ότι ένας πελάτης δεν θα κάνει ποτέ άλλο αίτημα επαλήθευσης. Η δόμηση αλυσίδας, η πολιτική κατάστασης και οι υποστηριζόμενοι μηχανισμοί διαφέρουν ανά υλοποίηση.

Ένας προβολέας πιστοποιητικών σε έναν περιηγητή δεν περιγράφει κάθε λειτουργικό σύστημα και πελάτη VPN. Η ίδια καταγραφή δικτύου μπορεί να σημαίνει διαφορετικά πράγματα με διαφορετικές ρυθμίσεις επαλήθευσης.

Η προσωρινή αποθήκευση σπάει την υπόθεση μία σελίδα μία αναζήτηση

Η προσωρινή αποθήκευση αποσυνδέει τις φορτώσεις σελίδων από τις αναζητήσεις. Ο περιηγητής μπορεί να επαναχρησιμοποιήσει μια απάντηση για ένα διάστημα, άρα μία προβολή σελίδας δεν σημαίνει ένα αίτημα δικτύου.

Το αντίθετο λάθος είναι εξίσου συνηθισμένο. Μια αποθηκευμένη απάντηση δεν λέει τίποτε για το πότε θα γίνει η επόμενη ανανέωση, και το πρόγραμμα ανανέωσης μπορεί να μην έχει σχέση με τη σελίδα που ανοίγει. Χρησιμοποιήστε την τρέχουσα τεκμηρίωση του πελάτη και την πολιτική επαλήθευσης που ισχύει πριν αποδώσετε μια καταγραφή στο OCSP.

Μια έγκυρη απάντηση κατάστασης πρέπει να πληροί τους κανόνες αυθεντικότητας και φρεσκάδας του επαληθευτή, και ένα HTTP 200 δεν είναι το ίδιο με καλή κατάσταση. Ένα χρονικό όριο δεν είναι ανάκληση. Αυτά τα αποτελέσματα οδηγούν σε διαφορετική συμπεριφορά πελάτη και δεν πρέπει να συμπτυχθούν σε ένα σφάλμα.

Επιλογές απορρήτου που διατηρούν την επαλήθευση ακέραιη

Όπου η ίδια η αναζήτηση είναι ευαίσθητη, συζητήστε τις υποστηριζόμενες επιλογές παράδοσης και προσωρινής αποθήκευσης με τον ιδιοκτήτη του συστήματος. Μην το λύσετε απενεργοποιώντας τον έλεγχο ανάκλησης ή την επαλήθευση αλυσίδας.

Ένα πιο ήσυχο ίχνος δεν είναι ασφαλέστερη σύνδεση. Διατηρήστε ακέραια την ταυτότητα του ομοτίμου, την επαλήθευση αλυσίδας και την προβλεπόμενη πολιτική ανάκλησης, και αλλάξτε τη διαδρομή παράδοσης μόνο μέσω επιλογής που υποστηρίζει η ανάπτυξη. Καταγράψτε ποια επιλογή επιλέχθηκε και ποιος την κατέχει.

Όταν μια αναζήτηση εμφανιστεί απροσδόκητα, ονομάστε τον παραλήπτη, τη διαδρομή και τη λειτουργία πιστοποιητικού ξεχωριστά. Μια λήψη από τον εκδότη, ένα ερώτημα κατάστασης και το αίτημα της σελίδας είναι τρία γεγονότα. Η αντιμετώπισή τους ως ενός κάνει την ανασκόπηση απορρήτου ανακριβή και κρύβει ποιο μέρος έμαθε πράγματι κάτι. Ξεκινήστε από τα πεδία του πρωτοκόλλου και προχωρήστε προς τα έξω στη διαδρομή δικτύου.