OCSP құпиялылығы: жауап беруші сертификатты көреді, URL-іңізді емес

Күй тексеруі бір сертификат туралы бір сұрақ қояды, ал жауап өз байланысымен жүреді. Ол тексеруге әкелген бет жолын қамтымайды. Құпиялылық талқылаулары бұл айырбасты браузер тарихының ағыны ретінде қарастырады, бұл сұраныс таситынды асыра көрсетіп, жауап беруші бақылай алатынды төмендетеді. Оның нені ашатынын шешпес бұрын сұранысты оқыңыз.

Сұраныс бір сертификатты анықтайды

OCSP сертификат идентификаторы хэш функциясынан, эмитенттің екі хэшінен және мақсатты сертификаттың сериялық нөмірінен құрылады, бұл RFC 6960-де көрсетілген. Әр өріс бір сертификатты нұсқайды, URL немесе HTTP сұранысын емес.

Бет жолы, сұрау жолы және кез келген нысан мазмұны стандартты идентификаторда жоқ. Жауап беруші нақты URL-ді алады деген тұжырым сертификат тексеруінен басқа жерден дәлел қажет етеді. Сұраныс әлі де сертификат пен мезетті атайды, ал жауап беруші оны қай қызмет ұсынатынын білуі мүмкін.

Жетіспейтіні — бет, бүкіл контекст емес. Сертификат тексеруіне белгілі қызмет пен қайталанатын дереккөз қосылса, олардың кез келгенінен бөлек көбірек ақпарат беруі мүмкін.

Жауап беруші шын мәнінде нені бақылай алады

Жауап беруші өзіне жететін байланысты көреді: бастау мекенжайы, уақыт және оның орналасуы жазатын кез келген тасымал метадеректері. Егер күй сұранысы VPN-ге ілессе, бұл дереккөз пайдаланушының кіру желісі емес, VPN шығысы болуы мүмкін. Екеуі бір браузер сессиясына жатады деп, күй сұранысы бет сұранысымен бірдей жол жүреді деп ойламаңыз.

Бір ізден қорытынды жасаудың орнына клиенттің қолдайтын маршруттауын және тексеру мінезін тексеріңіз. Бөлінген туннель екі сұранысты әртүрлі бағытта жібере алады.

Бекітілген жауап — екінші кең тараған үлгі. RFC 6066-дағы TLS status_request кеңейтімі серверге OCSP жауабын өз қол алысуына тіркеуге мүмкіндік береді, сондықтан клиент сол байланыс үшін күйді өзі алудың орнына берілгенді тексереді. Бұл ауысу бақылаушыны өзгертеді. Алуды сервер жағы жасайды, ал клиенттің өз мекенжайы сол байланыс үшін жауап берушіге ешқашан жетпейді.

Күй қол алысуда бекітілген күйде келуі мүмкін

Осының ешқайсысы клиенттің ешқашан басқа тексеру сұранысын жасамайтынына кепілдік бермейді. Тізбек құру, күй саясаты және қолданылатын механизмдер іске асыруға қарай өзгереді.

Бір браузердегі сертификат қараушы әрбір операциялық жүйе мен VPN клиентін сипаттамайды. Бірдей желілік жазба әртүрлі тексеру параметрлерінде әртүрлі нәрсені білдіруі мүмкін.

Кэштеу бір бет бір іздеу болжамын бұзады

Кэштеу бет жүктеулерін іздеулерден ажыратады. Браузер жауапты біраз уақыт қайта пайдалануы мүмкін, сондықтан бетті бір рет көру бір желілік сұраныс дегенді білдірмейді.

Керісінше қате де сол сияқты жиі. Кэштелген жауап келесі жаңарту қашан болатыны туралы ештеңе айтпайды, ал жаңарту кестесі ашылып жатқан бетке қатыссыз болуы мүмкін. Жазбаны OCSP-ге телудің алдында клиенттің ағымдағы құжаттамасын және күшіндегі тексеру саясатын пайдаланыңыз.

Жарамды күй жауабы тексерушінің шынайылық және жаңалық ережелеріне сай болуы керек, ал HTTP 200 жақсы күймен бірдей емес. Уақыттың бітуі кері қайтарып алу емес. Бұл нәтижелер клиенттің әртүрлі мінезіне әкеледі және оларды бір қатеге біріктіруге болмайды.

Валидацияны бүтіндікте сақтайтын құпиялылық таңдаулары

Іздеудің өзі сезімтал жерде жүйе иесімен қолданылатын жеткізу және кэштеу нұсқаларын талқылаңыз. Оны кері қайтарып алу тексеруін немесе тізбек валидациясын өшірумен шешпеңіз.

Тыныш із қауіпсіз байланыс емес. Серіктес сәйкестігін, тізбек валидациясын және көзделген кері қайтарып алу саясатын бүтін сақтаңыз, ал жеткізу жолын тек орналасу қолдайтын нұсқа арқылы өзгертіңіз. Қай нұсқа таңдалғанын және оның иесі кім екенін жазып қойыңыз.

Іздеу кенеттен пайда болғанда қабылдаушыны, маршрутты және сертификат операциясын бөлек атаңыз. Эмитенттен жүктеу, күй сұрауы және бет сұранысы — үш оқиға. Оларды бір деп қарау құпиялылық шолуын дәлсіз етеді және қай тарап шын мәнінде бірдеңе білгенін жасырады. Протокол өрістерінен бастап, желі жолына қарай сыртқа жылжыңыз.