OCSP-yksityisyys: vastaaja näkee varmenteen, ei URL-osoitettasi

Tilatarkistus esittää yhden kysymyksen yhdestä varmenteesta, ja vastaus kulkee omalla yhteydellään. Se ei sisällä sivun polkua, joka johti tarkistukseen. Yksityisyyskeskustelut käsittelevät vaihtoa usein selaushistorian syötteenä, mikä liioittelee sitä, mitä pyyntö kantaa, ja aliarvioi sitä, mitä vastaaja voi havaita. Lue pyyntö ennen kuin päätät, mitä se paljastaa.

Pyyntö yksilöi yhden varmenteen

OCSP-varmenteen tunniste rakennetaan hajautusfunktiosta, myöntäjän kahdesta hajautuksesta ja kohdevarmenteen sarjanumerosta, kuten standardissa RFC 6960 määritetään. Jokainen kenttä osoittaa yhteen varmenteeseen, ei URL-osoitteeseen tai HTTP-pyyntöön.

Sivun polku, kyselymerkkijono ja mahdollinen lomakesisältö puuttuvat vakiotunnisteesta. Väite, että vastaaja saa tarkan URL-osoitteen, vaatii todisteita muualta kuin varmenteen tarkistuksesta. Pyyntö nimeää silti varmenteen ja hetken, ja vastaaja voi tietää, mikä palvelu sen esittää.

Puuttuva asia on sivu, ei koko asiayhteys. Varmenteen tarkistus plus tunnettu palvelu plus toistuva lähde voivat olla valaisevampia kuin mikään niistä yksinään.

Mitä vastaaja voi todella havaita

Vastaaja näkee yhteyden, joka saapuu sille: lähdeosoite, ajoitus ja kaikki kuljetuksen metatiedot, jotka sen käyttöönotto tallentaa. Jos tilapyyntö seuraa VPN:ää, lähde voi olla VPN:n ulostulo eikä käyttäjän liityntäverkko. Älä oleta, että tilapyyntö kulkee samaa polkua kuin sivupyyntö vain siksi, että molemmat kuuluvat samaan selainistuntoon.

Tarkista asiakkaan tuettu reititys ja vahvistuskäyttäytyminen sen sijaan, että päättelet sen yhdestä jäljestä. Jaettu tunneli voi lähettää kaksi pyyntöä eri suuntiin.

Yhdistetty vastaus on toinen yleinen malli. RFC 6066:n TLS-laajennus status_request antaa palvelimen liittää OCSP-vastauksen omaan kättelyynsä, joten asiakas vahvistaa sen, mitä sille annettiin, sen sijaan että hakisi tilan itse kyseiselle yhteydelle. Tämä muutos muuttaa havaitsijaa. Hakemisen tekee palvelinpuoli, eikä asiakkaan oma osoite koskaan saavuta vastaajaa kyseiselle yhteydelle.

Tila voi saapua yhdistettynä kättelyssä

Mikään tästä ei takaa, ettei asiakas koskaan tee uutta vahvistuspyyntöä. Ketjun rakentaminen, tilakäytäntö ja tuetut mekanismit vaihtelevat toteutuksittain.

Yhden selaimen varmenteiden katseluohjelma ei kuvaa jokaista käyttöjärjestelmää ja VPN-asiakasta. Sama verkkokaappaus voi tarkoittaa eri asioita eri vahvistusasetuksilla.

Välimuisti rikkoo oletuksen yksi sivu yksi haku

Välimuisti irrottaa sivun lataukset hauista. Selain voi käyttää vastausta uudelleen jonkin aikaa, joten yksi sivunäkymä ei tarkoita yhtä verkkopyyntöä.

Päinvastainen virhe on yhtä yleinen. Välimuistiin tallennettu vastaus ei kerro, milloin seuraava päivitys tapahtuu, eikä päivitysaikataulu välttämättä liity avattavaan sivuun. Käytä asiakkaan nykyistä dokumentaatiota ja voimassa olevaa vahvistuskäytäntöä ennen kuin liität kaappauksen OCSP:hen.

Kelvollisen tilavastauksen on täytettävä vahvistajan aitous- ja tuoreussäännöt, eikä HTTP 200 ole sama kuin hyvä tila. Aikakatkaisu ei ole mitätöinti. Nämä tulokset johtavat erilaiseen asiakaskäyttäytymiseen, eikä niitä pitäisi yhdistää yhdeksi virheeksi.

Yksityisyysvalinnat, jotka pitävät vahvistuksen ehjänä

Kun haku itsessään on arkaluonteinen, keskustele tuetuista toimitustavoista ja välimuistivaihtoehdoista järjestelmän omistajan kanssa. Älä ratkaise asiaa kytkemällä pois mitätöinnin tarkistusta tai ketjun vahvistusta.

Hiljaisempi jälki ei ole turvallisempi yhteys. Pidä vertaisidentiteetti, ketjun vahvistus ja aiottu mitätöintikäytäntö ehjinä ja muuta toimitustapaa vain vaihtoehdolla, jota käyttöönotto tukee. Kirjaa, mikä vaihtoehto valittiin ja kuka omistaa sen.

Kun haku ilmestyy odottamatta, nimeä vastaanottaja, reitti ja varmenteen toimenpide erikseen. Myöntäjän lataus, tilakysely ja sivupyyntö ovat kolme tapahtumaa. Niiden käsitteleminen yhtenä tekee yksityisyyskatsauksesta epätarkan ja kätkee, mikä osapuoli todella oppi jotain. Aloita protokollan kentistä ja etene ulospäin verkkopolulle.