OCSP-privacy: de beantwurder sjocht in sertifikaat, net jo URL

In statuskontrôle stelt ien fraach oer ien sertifikaat, en it antwurd reizget op syn eigen ferbining. It befettet net it paad fan ’e side dat ta de kontrôle late. Privacy-diskusjes behannelje de útwikseling faak as in feed fan ’e blêdwizerskiednis, wat oerdriuwt wat it fersyk draacht en ûnderskat wat de beantwurder waarnimme kin. Lês it fersyk foardat jo beslute wat it ferriedt.

It fersyk identifisearret ien sertifikaat

De OCSP-sertifikaatidentifikaasje wurdt boud út in hashfunksje, twa hashes fan ’e útjouwer en it searjenûmer fan it doelsertifikaat, sa’t RFC 6960 it beskriuwt. Elk fjild wiist nei ien sertifikaat, net nei in URL of in HTTP-fersyk.

It paad fan ’e side, de query-string en alle formulierynhâld ûntbrekke yn ’e standertidentifikaasje. De bewearing dat de beantwurder de krekte URL krijt, hat bewiis fan earne oars nedich as fan ’e sertifikaatkontrôle. It fersyk neamt noch altyd in sertifikaat en in momint, en de beantwurder kin witte hokker tsjinst it presintearret.

Wat ûntbrekt is de side, net de hiele kontekst. In sertifikaatkontrôle plus in bekende tsjinst plus in werhelle boarne kin mear fertelle as ien fan dy trije allinnich.

Wat de beantwurder eins waarnimme kin

De beantwurder sjocht de ferbining dy’t him berikt: boarneadres, timing en alle transportmetadat dy’t syn útrulling registrearret. As it statusfersyk de VPN folget, kin dy boarne de VPN-útgong wêze ynstee fan it tagongsnetwurk fan ’e brûker. Nim net oan dat it statusfersyk itselde paad nimt as it sidefersyk, allinnich om’t beide by ien blêdwizersesje hearre.

Kontrolearje hokker rûtesjen en ferifikaasjegedrach de kliïnt stipet, ynstee fan it ôf te lieden út ien inkeld spoar. In splitst tunnel kin de twa fersiken yn ferskate rjochtingen stjoere.

In fêstmakke antwurd is it oare gongbere patroan. De TLS-útwreiding status_request út RFC 6066 lit in tsjinner in OCSP-antwurd oan syn eigen handshake fêstmeitsje, sadat de kliïnt ferifiearret wat him jûn is ynstee fan sels status op te heljen foar dy ferbining. Dy ferskowing feroaret de waarnimmer. De tsjinnerkant docht it opheljen, en it eigen adres fan ’e kliïnt berikt de beantwurder nea foar dy ferbining.

Status kin fêstmakke yn ’e handshake oankomme

Neat hjirfan garandearret dat in kliïnt nea wer in ferifikaasjefersyk docht. Ketenbou, statusbelied en stipe meganismen ferskille per ymplemintaasje.

In sertifikaatbesjogger yn ien blêdwizer is gjin beskriuwing fan elk bestjoeringssysteem en elke VPN-kliïnt. Deselde netwurkopname kin ûnder ferskate ferifikaasje-ynstellingen ferskate dingen betsjutte.

Caching brekt de oanname ien side ien syktocht

Caching skiedt sidebeladen fan syktochten. De blêdwizer kin in antwurd in skoft wer brûke, dus ien sidebesite betsjut net ien netwurkfersyk.

De tsjinstelde flater is like gewoan. In cache-antwurd seit neat oer wannear’t de folgjende ferfarsking bart, en it ferfarskingsskema kin los steam fan ’e side dy’t iepene wurdt. Brûk de aktuele dokumintaasje fan ’e kliïnt en it jildende ferifikaasjebelied foardat jo in opname oan OCSP taskriuwe.

In jildich statusantwurd moat foldwaan oan ’e echtheids- en frisheidsregels fan ’e ferifiearder, en in HTTP 200 is net itselde as in goede status. In time-out is gjin weromlûking. Dy útkomsten liede ta oar kliïntgedrach en moatte net ta ien flater gearfoege wurde.

Privacykarren dy’t ferifikaasje yntakt hâlde

Wêr’t de syktocht sels gefoelich is, beprate stipe leverings- en cache-opsjes mei de eigner fan it systeem. Los it net op troch de weromlûkingskontrôle of ketenferifikaasje út te setten.

In stiller spoar is gjin feiliger ferbining. Hâld peer-identiteit, ketenferifikaasje en it bedoelde weromlûkingsbelied yntakt, en feroarje it leveringspaad allinnich fia in opsje dy’t de útrulling stipet. Skriuw op hokker opsje keazen is en wa’t dy besit.

As in syktocht ûnferwachts opdûkt, neam dan de ûntfanger, de rûte en de sertifikaatbewurking apart. In download fan ’e útjouwer, in statusfraach en it sidefersyk binne trije barrens. Se as ien behannelje makket de privacyresinsje ûnkrekt en ferberget hokker partij eins wat leard hat. Begjin by de protokolfjilden en wurkje nei bûten ta it netwurkpaad.