OCSP privaatsus: vastaja näeb sertifikaati, mitte sinu URL-i

Olekukontroll esitab ühe küsimuse ühe sertifikaadi kohta ja vastus liigub omaette ühendusel. See ei sisalda lehekülje teed, mis kontrollini viis. Privaatsusarutelud käsitlevad seda vahetust sageli sirvimisajaloo voona, mis hindab üle seda, mida päring kannab, ja alahindab seda, mida vastaja võib jälgida. Lugege päringut, enne kui otsustate, mida see paljastab.

Päring tuvastab ühe sertifikaadi

OCSP sertifikaadi identifikaator ehitatakse räsifunktsioonist, kahest väljaandja räsist ja sihtsertifikaadi seerianumbrist, nagu on sätestatud standardis RFC 6960. Iga väli osutab ühele sertifikaadile, mitte URL-ile ega HTTP-päringule.

Lehekülje tee, päringustring ja mis tahes vormisisu puuduvad standardsest identifikaatorist. Väide, et vastaja saab täpse URL-i, vajab tõendit mujalt kui sertifikaadikontrollist. Päring nimetab siiski sertifikaati ja hetke, ja vastaja võib teada, milline teenus seda esitleb.

Puudu on lehekülg, mitte kogu kontekst. Sertifikaadikontroll pluss tuntud teenus pluss korduv allikas võivad anda rohkem kui ükskõik milline neist üksi.

Mida vastaja tegelikult jälgida saab

Vastaja näeb ühendust, mis temani jõuab: lähteaadress, ajastus ja kõik transpordi metaandmed, mida tema juurutus salvestab. Kui olekupäring järgib VPN-i, võib see allikas olla VPN-i väljund, mitte kasutaja juurdepääsuvõrk. Ärge eeldage, et olekupäring läbib sama tee kui leheküljepäring, ainult sellepärast, et mõlemad kuuluvad ühte brauseriseanssi.

Kontrollige kliendi toetatud marsruutimist ja valideerimiskäitumist, selle asemel et tuletada seda ühest jäljest. Jagatud tunnel võib saata kaks päringut eri suundadesse.

Kinnitatud vastus on teine levinud muster. RFC 6066 TLS-i laiend status_request lubab serveril lisada OCSP-vastuse oma kätlusse, nii et klient valideerib selle, mis talle anti, selle asemel et ise selle ühenduse jaoks olekut hankida. See nihe muudab jälgijat. Hankimise teeb serveripool ja kliendi enda aadress ei jõua selle ühenduse jaoks kunagi vastajani.

Olek võib saabuda kätluses kinnitatuna

Miski sellest ei taga, et klient ei tee kunagi uut valideerimispäringut. Ahela ülesehitamine, olekupoliitika ja toetatud mehhanismid erinevad teostuse kaupa.

Sertifikaadivaatur ühes brauseris ei kirjelda iga operatsioonisüsteemi ja VPN-kliendi. Sama võrgusalvestus võib erinevate valideerimisseadete korral tähendada erinevaid asju.

Vahemällu salvestamine lammutab eelduse üks lehekülg üks otsing

Vahemällu salvestamine lahutab lehekülgede laadimised otsingutest. Brauser võib vastust mõnda aega uuesti kasutada, seega üks leheküljevaade ei tähenda üht võrgupäringut.

Vastupidine viga on sama levinud. Vahemällu salvestatud vastus ei ütle midagi selle kohta, millal toimub järgmine värskendus, ja värskenduskava ei pruugi olla avatava leheküljega seotud. Kasutage kliendi kehtivat dokumentatsiooni ja jõus olevat valideerimispoliitikat, enne kui omistate salvestuse OCSP-le.

Kehtiv olekuvastus peab vastama valideerija autentsuse ja värskuse reeglitele ning HTTP 200 ei ole sama mis hea olek. Aegumine ei ole tühistamine. Need tulemused viivad erineva kliendikäitumiseni ja neid ei tohiks üheks veaks kokku suruda.

Privaatsusvalikud, mis hoiavad valideerimise tervikuna

Kui otsing ise on tundlik, arutage toetatud kohaletoimetamise ja vahemällu salvestamise valikuid süsteemi omanikuga. Ärge lahendage seda tühistamiskontrolli või ahela valideerimise väljalülitamisega.

Vaiksem jälg ei ole turvalisem ühendus. Hoidke puutumata võrdse osapoole identiteet, ahela valideerimine ja kavandatud tühistamispoliitika ning muutke kohaletoimetamise teed ainult valiku kaudu, mida juurutus toetab. Märkige üles, milline valik valiti ja kellele see kuulub.

Kui otsing ilmub ootamatult, nimetage vastuvõtja, marsruut ja sertifikaadi toiming eraldi. Väljaandjalt allalaadimine, olekupäring ja leheküljepäring on kolm sündmust. Nende käsitlemine ühena muudab privaatsusülevaate ebatäpseks ja varjab, milline osapool tegelikult midagi teada sai. Alustage protokolli väljadest ja liikuge sealt väljapoole võrgu teele.