OCSP pribatutasuna: erantzuleak ziurtagiria ikusten du, ez zure URLa
OCSP eskaera batek ziurtagiri bat eta denborako une bat identifikatzen ditu, ez orriaren bidea. Itsasteak, cacheak eta bezeroaren politikak erabakitzen dute nork behatzen duen egiaztapena.
Egoera-egiaztapen batek ziurtagiri bati buruzko galdera bat egiten du, eta erantzuna bere konexioan zehar bidaiatzen du. Ez du egiaztapenera eraman zuen orriaren bidea jasotzen. Pribatutasun-eztabaidek sarritan nabigazio-historiaren jario gisa hartzen dute trukea, eta horrek eskaerak daramanari gehiegizko pisua ematen dio eta erantzuleak behatu dezakeenari gutxiegizkoa. Irakurri eskaera, zer agertzen duen erabaki aurretik.
Eskaerak ziurtagiri bat identifikatzen du
OCSP ziurtagiri-identifikatzailea hash funtzio batetik, igorlearen bi hashetatik eta helburuko ziurtagiriaren serie-zenbakitik eraikitzen da, RFC 6960-ak zehazten duen bezala. Eremu bakoitzak ziurtagiri bat seinalatzen du, ez URL bat edo HTTP eskaera bat.
Orriaren bidea, kontsulta-katea eta edozein formulario-eduki ez daude identifikatzaile estandarrean. Erantzuleak URL zehatza jasotzen duen aldarrikapenak ziurtagiriaren egiaztapenetik kanpoko frogak behar ditu. Eskaerak ziurtagiri bat eta une bat izendatzen ditu oraindik, eta erantzuleak jakin dezake zein zerbitzuk aurkezten duen.
Faltan dagoena orria da, ez testuinguru osoa. Ziurtagiri-egiaztapen bat gehi zerbitzu ezagun bat gehi iturri errepikatu bat bakoitza bakarrik baino informatiboagoa izan daiteke.
Zer behatu dezakeen erantzuleak benetan
Erantzuleak berarengana iristen den konexioa ikusten du: iturburu-helbidea, denbora eta haren inplementazioak erregistratzen duen garraio-metadatu oro. Egoera-eskaerak VPNa jarraitzen badu, iturri hori VPN irteera izan daiteke, erabiltzailearen sarbide-sarea ez. Ez pentsatu egoera-eskaerak orriaren eskaerak bezalako bidea hartzen duenik, biak nabigatzaile-saio berari dagozkiolako.
Egiaztatu bezeroak onartzen duen bideratzea eta egiaztapen-portaera, arrasto bakar batetik ondorioztatu ordez. Tunel zatitu batek bi eskaerak norabide ezberdinetara bidal ditzake.
Erantzun itsatsia da beste eredu ohikoa. RFC 6066-ko TLS status_request luzapenak zerbitzariari bere eskuko ukitzean OCSP erantzun bat eransteko aukera ematen dio, eta horrela bezeroak emandakoa baliozkotzen du, konexio horretarako egoera bera eskuratu ordez. Aldaketa horrek behatzailea aldatzen du. Zerbitzariaren aldeak egiten du eskuratzea, eta bezeroaren beraren helbidea ez da inoiz erantzulearengana iristen konexio horretarako.
Egoera itsatsita irits daiteke eskuko ukitzean
Honek ez du bermatzen bezero batek inoiz beste baliozkotze-eskaerarik egingo ez duenik. Katearen eraikuntza, egoera-politika eta onartutako mekanismoak inplementazioaren arabera aldatzen dira.
Nabigatzaile bateko ziurtagiri-ikustaileak ez du sistema eragile eta VPN bezero guztiak deskribatzen. Sare-kaptura berak gauza ezberdinak esan ditzake egiaztapen-ezarpen ezberdinekin.
Cacheak orri bat bilaketa bat suposizioa hausten du
Cacheak orrien kargak bilaketetatik bereizten ditu. Nabigatzaileak erantzun bat denbora batez berrerabil dezake, beraz orri-ikustaldi batek ez du sare-eskaera bat esan nahi.
Kontrako akatsa bezain ohikoa da. Cachean dagoen erantzunak ez du ezer esaten hurrengo freskatzea noiz gertatuko den, eta freskatze-egutegiak ez du zertan irekitzen ari den orriarekin zerikusirik izan. Erabili bezeroaren uneko dokumentazioa eta indarrean dagoen egiaztapen-politika kaptura bat OCSPri egotzi aurretik.
Baliozko egoera-erantzunak egiaztatzailearen benetakotasun- eta freskotasun-arauak bete behar ditu, eta HTTP 200 ez da egoera onaren berdina. Denbora-muga ez da errebokazioa. Emaitza horiek bezero-portaera ezberdinetara daramate eta ez lirateke errore bakarrean elkartu behar.
Baliozkotzea osorik mantentzen duten pribatutasun-aukerak
Bilaketa bera sentikorra den lekuetan, eztabaidatu onartutako entrega- eta cache-aukerak sistemaren jabearekin. Ez konpondu errebokazio-egiaztapena edo katearen baliozkotzea itzaliz.
Arrasto isilagoa ez da konexio seguruagoa. Mantendu osorik parearen identitatea, katearen baliozkotzea eta aurreikusitako errebokazio-politika, eta aldatu entrega-bidea inplementazioak onartzen duen aukera baten bidez soilik. Idatzi zein aukera aukeratu zen eta nor den haren jabe.
Bilaketa bat ustekabean agertzen denean, izenda itzazu hartzailea, bidea eta ziurtagiri-eragiketa bereizita. Igorlearen deskarga bat, egoera-kontsulta bat eta orriaren eskaera hiru gertaera dira. Horiek bat balira bezala tratatzeak pribatutasun-berrikuspena zehaztugabe egiten du eta zein alderdik ikasi zuen benetan zerbait ezkutatzen du. Hasi protokolo-eremuetatik eta joan kanporantz sare-bidera arte.