OCSP-ի գաղտնիությունը․ պատասխանողը տեսնում է վկայագիր, ոչ ձեր URL-ը

Կարգավիճակի ստուգումը մեկ հարց է տալիս մեկ վկայագրի մասին, և պատասխանը ճամփորդում է իր սեփական կապով։ Այն չի պարունակում այն էջի ուղին, որը հանգեցրել է ստուգմանը։ Գաղտնիության քննարկումները հաճախ այս փոխանակումը դիտարկում են որպես զննարկման պատմության հոսք, ինչը չափազանցնում է, թե ինչ է կրում հարցումը, և թերագնահատում է, թե ինչ կարող է դիտել պատասխանողը։ Կարդացեք հարցումը նախքան որոշելը, թե ինչ է այն բացահայտում։

Հարցումը նույնականացնում է մեկ վկայագիր

OCSP վկայագրի նույնացուցիչը կառուցվում է հեշ ֆունկցիայից, թողարկողի երկու հեշից և թիրախ վկայագրի սերիական համարից, ինչպես սահմանված է RFC 6960-ում։ Յուրաքանչյուր դաշտ մատնանշում է մեկ վկայագիր, ոչ URL կամ HTTP հարցում։

Էջի ուղին, հարցման տողը և ցանկացած ձևաթղթի բովանդակություն բացակայում են ստանդարտ նույնացուցիչից։ Այն պնդումը, որ պատասխանողը ստանում է ճշգրիտ URL-ը, ապացույց է պահանջում վկայագրի ստուգումից բացի այլ տեղից։ Հարցումը դեռ նշում է վկայագիր և պահ, և պատասխանողը կարող է իմանալ, թե որ ծառայությունն է ներկայացնում այն։

Բացակայում է էջը, ոչ ամբողջ համատեքստը։ Վկայագրի ստուգումը գումարած հայտնի ծառայությունը գումարած կրկնվող աղբյուրը կարող են ավելի տեղեկատվական լինել, քան դրանցից որևէ մեկը առանձին։

Ինչ կարող է պատասխանողը փաստացի դիտել

Պատասխանողը տեսնում է այն կապը, որը հասնում է իրեն՝ աղբյուրի հասցեն, ժամանակը և ցանկացած տրանսպորտային մետատվյալ, որը գրանցում է իր տեղակայումը։ Եթե կարգավիճակի հարցումը հետևում է VPN-ին, այդ աղբյուրը կարող է լինել VPN-ի ելքը, այլ ոչ թե օգտվողի մուտքի ցանցը։ Չենթադրեք, որ կարգավիճակի հարցումը նույն ուղին է անցնում, ինչ էջի հարցումը, միայն այն պատճառով, որ երկուսն էլ պատկանում են մեկ դիտարկիչի նստաշրջանի։

Ստուգեք հաճախորդի աջակցվող երթուղավորումը և ստուգման վարքը, փոխանակ այն մեկ հետքից եզրակացնելու։ Բաժանված թունելը կարող է երկու հարցումն ուղարկել տարբեր ուղղություններով։

Կցված պատասխանը մյուս տարածված օրինակն է։ RFC 6066-ի TLS status_request ընդլայնումը թույլ է տալիս սերվերին OCSP պատասխան կցել իր սեփական ձեռքսեղմմանը, այնպես որ հաճախորդը վավերացնում է տրվածը, փոխանակ այդ կապի համար ինքը կարգավիճակ բերելու։ Այդ տեղաշարժը փոխում է դիտորդին։ Բերելը կատարում է սերվերի կողմը, և հաճախորդի սեփական հասցեն այդ կապի համար երբեք չի հասնում պատասխանողին։

Կարգավիճակը կարող է գալ կցված ձեռքսեղմման մեջ

Այս ամենը չի երաշխավորում, որ հաճախորդը երբեք այլ վավերացման հարցում չի անի։ Շղթայի կառուցումը, կարգավիճակի քաղաքականությունը և աջակցվող մեխանիզմները տարբերվում են ըստ իրականացման։

Մեկ դիտարկիչում վկայագրերի դիտիչը բոլոր օպերացիոն համակարգերի և VPN հաճախորդների նկարագրությունը չէ։ Նույն ցանցային գրավումը տարբեր ստուգման կարգավորումներում կարող է տարբեր բան նշանակել։

Քեշավորումը կոտրում է մեկ էջ մեկ որոնում ենթադրությունը

Քեշավորումը տարանջատում է էջերի բեռնումը որոնումներից։ Դիտարկիչը կարող է պատասխանը որոշ ժամանակով կրկին օգտագործել, այնպես որ էջի մեկ դիտումը չի նշանակում մեկ ցանցային հարցում։

Հակառակ սխալը նույնքան տարածված է։ Քեշավորված պատասխանը ոչինչ չի ասում, թե երբ տեղի կունենա հաջորդ թարմացումը, և թարմացման ժամանակացույցը կարող է կապ չունենալ բացվող էջի հետ։ Օգտագործեք հաճախորդի ընթացիկ փաստաթղթերը և գործող ստուգման քաղաքականությունը նախքան գրավումը OCSP-ին վերագրելը։

Վավեր կարգավիճակի պատասխանը պետք է բավարարի ստուգողի իսկության և թարմության կանոններին, և HTTP 200-ը նույնը չէ, ինչ լավ կարգավիճակը։ Ժամանակի սպառումը չեղարկում չէ։ Այս արդյունքները հանգեցնում են տարբեր հաճախորդային վարքի և չպետք է միաձուլվեն մեկ սխալի մեջ։

Գաղտնիության ընտրություններ, որոնք պահպանում են ստուգումն անձեռնմխելի

Այնտեղ, որտեղ որոնումն ինքնին զգայուն է, քննարկեք աջակցվող առաքման և քեշավորման տարբերակները համակարգի սեփականատիրոջ հետ։ Մի լուծեք այն չեղարկման ստուգումը կամ շղթայի վավերացումը անջատելով։

Ավելի հանգիստ հետքը ավելի անվտանգ կապ չէ։ Անձեռնմխելի պահեք գործընկերոջ ինքնությունը, շղթայի վավերացումը և նախատեսված չեղարկման քաղաքականությունը, և փոխեք առաքման ուղին միայն այն տարբերակով, որն աջակցում է տեղակայումը։ Գրանցեք, թե որ տարբերակն է ընտրվել և ով է դրա սեփականատերը։

Երբ որոնումը հայտնվում է անսպասելիորեն, առանձին անվանեք ստացողին, երթուղին և վկայագրի գործողությունը։ Թողարկողից ներբեռնումը, կարգավիճակի հարցումը և էջի հարցումը երեք իրադարձություն են։ Դրանց որպես մեկը վերաբերվելը դարձնում է գաղտնիության վերանայումը ոչ ճշգրիտ և թաքցնում, թե որ կողմն է իրականում ինչ-որ բան իմացել։ Սկսեք արձանագրության դաշտերից և շարժվեք դեպի դուրս՝ դեպի ցանցային ուղին։