Næði OCSP: svarendinn sér vottorð, ekki slóðina þína

Stöðuathugun spyr einnar spurningar um eitt vottorð, og svarið fer á sínum eigin tengingu. Hún inniheldur ekki slóð síðunnar sem leiddi til athugunarinnar. Umræður um næði líta oft á skiptin sem flæði vafurferils, sem ýkir það sem beiðnin ber og vanmetur það sem svarendinn getur fylgst með. Lestu beiðnina áður en þú ákveður hvað hún afhjúpar.

Beiðnin auðkennir eitt vottorð

Auðkenni OCSP-vottorðs er byggt úr tætifalli, tveimur tætum útgefandans og raðnúmeri markvottorðsins, eins og tilgreint er í RFC 6960. Hver reitur bendir á eitt vottorð, ekki slóð eða HTTP-beiðni.

Slóð síðunnar, fyrirspurnarstrengurinn og hvers kyns forminnihald vantar í staðalauðkennið. Fullyrðingin um að svarendinn fái nákvæmu slóðina krefst sönnunar annars staðar frá en úr vottorðsathuguninni. Beiðnin nefnir samt vottorð og augnablik, og svarendinn kann að vita hvaða þjónusta kynnir það.

Það sem vantar er síðan, ekki allt samhengið. Vottorðsathugun ásamt þekktri þjónustu ásamt endurtekinni uppsprettu getur sagt meira en hvert þeirra eitt og sér.

Hvað svarendinn getur í raun fylgst með

Svarendinn sér tenginguna sem nær til hans: upprunatölu, tímasetningu og hvers kyns flutningslýsigögn sem uppsetning hans skráir. Ef stöðubeiðnin fylgir VPN getur sú uppspretta verið VPN-útgangurinn frekar en aðgangsnet notandans. Gerðu ekki ráð fyrir að stöðubeiðnin fari sömu leið og síðubeiðnin bara af því að báðar tilheyra einni vafralotu.

Athugaðu studda leiðsögn og sannprófunarhegðun biðlarans í stað þess að álykta hana af einu slóð. Skipt göng geta sent beiðnirnar tvær í mismunandi áttir.

Festið svar er hitt algenga mynstrið. TLS-viðbótin status_request úr RFC 6066 leyfir þjóni að hengja OCSP-svar við eigin handaband, þannig að biðlarinn sannreynir það sem honum var gefið í stað þess að sækja stöðu sjálfur fyrir þá tengingu. Sú tilfærsla breytir áhorfandanum. Það er þjónshliðin sem sækir, og eigið vistfang biðlarans nær aldrei til svarendans fyrir þá tengingu.

Staða getur komið fest í handabandinu

Ekkert af þessu tryggir að biðlari geri aldrei aðra sannprófunarbeiðni. Keðjuuppbygging, stöðustefna og studdar aðferðir eru mismunandi eftir útfærslu.

Vottorðsskoðari í einum vafra er ekki lýsing á hverju stýrikerfi og VPN-biðlara. Sama netfang getur þýtt ýmislegt við mismunandi sannprófunarstillingar.

Skyndiminni brýtur forsenduna ein síða ein leit

Skyndiminni aðskilur hleðslu síðna frá leitum. Vafrinn getur endurnýtt svar í stund, svo ein síðuskoðun þýðir ekki eina netbeiðni.

Hin mistökin eru jafn algeng. Svar í skyndiminni segir ekkert um hvenær næsta endurnýjun verður, og endurnýjunaráætlunin getur verið ótengd síðunni sem er opnuð. Notaðu núgildandi skjöl biðlarans og gildandi sannprófunarstefnu áður en þú rekja skýringu á skot í OCSP.

Gilt stöðusvar verður að uppfylla reglur sannprófandans um áreiðanleika og ferskleika, og HTTP 200 er ekki það sama og góð staða. Tímamörk eru ekki afturköllun. Þessar niðurstöður leiða til mismunandi hegðunar biðlarans og ætti ekki að sameina í eina villu.

Næðisvalkostir sem halda sannprófun óskertri

Þar sem leitin sjálf er viðkvæm skaltu ræða studda afhendingu og skyndiminnisvalkosti við eiganda kerfisins. Leystu það ekki með því að slökkva á afturköllunarathugun eða keðjusannprófun.

Þegjandi slóð er ekki öruggari tenging. Haltu auðkenni jafningja, keðjusannprófun og fyrirhugaðri afturköllunarstefnu óskertri, og breyttu afhendingarleiðinni aðeins með valkosti sem uppsetningin styður. Skráðu hvaða valkostur var valinn og hver á hann.

Þegar leit birtist óvænt skaltu nefna viðtakandann, leiðina og vottorðsaðgerðina hverja fyrir sig. Niðurhal frá útgefanda, stöðufyrirspurn og síðubeiðnin eru þrír atburðir. Að meðhöndla þá sem einn gerir næðisúttektina ónákvæma og felur hvaða aðili lærði í raun eitthvað. Byrjaðu á reitum samskiptareglanna og farðu út að netleiðinni.