OCSP კონფიდენციალურობა: პასუხის გამცემი ხედავს სერტიფიკატს, არა თქვენს URL-ს

სტატუსის შემოწმება სვამს ერთ კითხვას ერთი სერტიფიკატის შესახებ, და პასუხი მოძრაობს თავისივე კავშირზე. ის არ შეიცავს იმ გვერდის გზას, რომელმაც შემოწმებამდე მიგვიყვანა. კონფიდენციალურობის განხილვები ხშირად ამ გაცვლას ბრაუზინგის ისტორიის ნაკადად მიიჩნევს, რაც აჭარბებს იმას, რასაც მოთხოვნა ატარებს, და ამცირებს იმას, რასაც პასუხის გამცემი შეიძლება აკვირდებოდეს. წაიკითხეთ მოთხოვნა, სანამ გადაწყვეტთ, რას ამჟღავნებს ის.

მოთხოვნა იდენტიფიცირებს ერთ სერტიფიკატს

OCSP სერტიფიკატის იდენტიფიკატორი აგებულია ჰეშ ფუნქციისგან, გამომცემლის ორი ჰეშისა და მიზნობრივი სერტიფიკატის სერიული ნომრისგან, როგორც RFC 6960-შია მითითებული. თითოეული ველი მიუთითებს ერთ სერტიფიკატზე, და არა URL-ზე ან HTTP მოთხოვნაზე.

გვერდის გზა, მოთხოვნის სტრიქონი და ნებისმიერი ფორმის შიგთავსი არ არის სტანდარტულ იდენტიფიკატორში. მტკიცება, რომ პასუხის გამცემი იღებს ზუსტ URL-ს, მოითხოვს მტკიცებულებას სერტიფიკატის შემოწმების გარეთ. მოთხოვნა მაინც ასახელებს სერტიფიკატსა და მომენტს, და პასუხის გამცემმა შეიძლება იცოდეს, რომელი სერვისი წარმოადგენს მას.

აკლია გვერდი, და არა მთელი კონტექსტი. სერტიფიკატის შემოწმება პლუს ცნობილი სერვისი პლუს განმეორებადი წყარო შეიძლება უფრო ინფორმაციული იყოს, ვიდრე რომელიმე მათგანი ცალკე.

რას შეიძლება პასუხის გამცემი რეალურად აკვირდებოდეს

პასუხის გამცემი ხედავს იმ კავშირს, რომელიც მას აღწევს: წყაროს მისამართი, დრო და ნებისმიერი სატრანსპორტო მეტამონაცემი, რომელსაც მისი განლაგება აღრიცხავს. თუ სტატუსის მოთხოვნა მიჰყვება VPN-ს, ეს წყარო შეიძლება იყოს VPN-ის გასასვლელი და არა მომხმარებლის წვდომის ქსელი. ნუ ივარაუდებთ, რომ სტატუსის მოთხოვნა იმავე გზას გადის, რასაც გვერდის მოთხოვნა, მხოლოდ იმიტომ, რომ ორივე ერთ ბრაუზერის სესიას ეკუთვნის.

შეამოწმეთ კლიენტის მხარდაჭერილი მარშრუტიზაცია და ვალიდაციის ქცევა, ნაცვლად იმისა, რომ ის ერთი კვალიდან გამოიტანოთ. გაყოფილ გვირაბს ორი მოთხოვნის სხვადასხვა მიმართულებით გაგზავნა შეუძლია.

დამაგრებული პასუხი სხვა გავრცელებული ნიმუშია. RFC 6066-ის TLS status_request გაფართოება სერვერს საშუალებას აძლევს, OCSP პასუხი საკუთარ ხელის ჩამორთმევას მიამაგროს, ასე რომ კლიენტი ამოწმებს მოცემულს, ნაცვლად იმისა, რომ ამ კავშირისთვის თავად მოიტანოს სტატუსი. ეს ცვლილება ცვლის დამკვირვებელს. მოტანას სერვერის მხარე აკეთებს, და კლიენტის საკუთარი მისამართი ამ კავშირისთვის არასდროს აღწევს პასუხის გამცემს.

სტატუსი შეიძლება ხელის ჩამორთმევაში დამაგრებული მოვიდეს

ამიდან არაფერი იძლევა გარანტიას, რომ კლიენტი არასდროს გააკეთებს სხვა ვალიდაციის მოთხოვნას. ჯაჭვის აგება, სტატუსის პოლიტიკა და მხარდაჭერილი მექანიზმები იმპლემენტაციის მიხედვით იცვლება.

სერტიფიკატების დამთვალიერებელი ერთ ბრაუზერში არ არის ყველა ოპერაციული სისტემისა და VPN კლიენტის აღწერა. იგივე ქსელური ჩაწერა სხვადასხვა ვალიდაციის პარამეტრებში სხვადასხვა რამეს ნიშნავს.

ქეშირება ამსხვრევს დაშვებას ერთი გვერდი ერთი ძებნა

ქეშირება აშორებს გვერდის ჩატვირთვას ძებნისგან. ბრაუზერმა შეიძლება პასუხი გარკვეული დროით ხელახლა გამოიყენოს, ამიტომ გვერდის ერთი ნახვა არ ნიშნავს ერთ ქსელურ მოთხოვნას.

საპირისპირო შეცდომა ისეთივე გავრცელებულია. ქეშირებული პასუხი არაფერს ამბობს იმაზე, როდის მოხდება შემდეგი განახლება, და განახლების გრაფიკი შეიძლება არ უკავშირდებოდეს გახსნილ გვერდს. გამოიყენეთ კლიენტის მიმდინარე დოკუმენტაცია და მოქმედი ვალიდაციის პოლიტიკა, სანამ ჩაწერას OCSP-ს მიაწერთ.

ვალიდური სტატუსის პასუხი უნდა აკმაყოფილებდეს ვალიდატორის ავთენტურობისა და სიმწვანის წესებს, და HTTP 200 არ არის იგივე, რაც კარგი სტატუსი. დროის ამოწურვა არ არის გაუქმება. ეს შედეგები იწვევს კლიენტის განსხვავებულ ქცევას და არ უნდა გაერთიანდეს ერთ შეცდომაში.

კონფიდენციალურობის არჩევანი, რომელიც ვალიდაციას ხელუხლებლად ინახავს

სადაც თავად ძებნა მგრძნობიარეა, განიხილეთ მხარდაჭერილი მიწოდებისა და ქეშირების ვარიანტები სისტემის მფლობელთან. ნუ გადაწყვეტთ ამას გაუქმების შემოწმების ან ჯაჭვის ვალიდაციის გამორთვით.

უფრო მშვიდი კვალი არ არის უფრო უსაფრთხო კავშირი. შეინარჩუნეთ ხელუხლებელი პირის იდენტობა, ჯაჭვის ვალიდაცია და განზრახული გაუქმების პოლიტიკა, და შეცვალეთ მიწოდების გზა მხოლოდ იმ ვარიანტით, რომელსაც განლაგება მხარს უჭერს. ჩაწერეთ, რომელი ვარიანტი აირჩიეს და ვინ ფლობს მას.

როცა ძებნა მოულოდნელად ჩნდება, ცალ-ცალკე დაასახელეთ მიმღები, მარშრუტი და სერტიფიკატის ოპერაცია. გამომცემლისგან ჩამოტვირთვა, სტატუსის მოთხოვნა და გვერდის მოთხოვნა სამი მოვლენაა. მათი ერთად განხილვა კონფიდენციალურობის მიმოხილვას არაზუსტს ხდის და მალავს, რომელმა მხარემ რეალურად ისწავლა რაღაც. დაიწყეთ პროტოკოლის ველებიდან და იმოძრავეთ გარეთ, ქსელური გზისკენ.