OCSP купуялуулугу: жооп берүүчү сертификатты көрөт, URL’иңизди эмес

Статус текшерүү бир сертификат тууралуу бир суроо берет, ал эми жооп өзүнүн байланышы менен жүрөт. Ал текшерүүгө алып келген барактын жолун камтыбайт. Купуялуулук талкуулары бул алмашууну браузер тарыхынын агымы катары карашат, бул суроо ташыган нерсени ашыра көрсөтүп, жооп берүүчү байкай алган нерсени төмөндөтөт. Анын эмнени ачканын чечээрден мурун суроону окуңуз.

Суроо бир сертификатты аныктайт

OCSP сертификат идентификатору хэш функциясынан, эмитенттин эки хэшинен жана максаттуу сертификаттын сериялык номеринен курулат, бул RFC 6960-до көрсөтүлгөн. Ар бир талаа бир сертификатты көрсөтөт, URL же HTTP суроосун эмес.

Барактын жолу, суроо сабы жана каалаган форма мазмуну стандарттык идентификатордо жок. Жооп берүүчү так URLди алат деген ырастоо сертификат текшерүүсүнөн тышкары жерден далил талап кылат. Суроо дагы эле сертификатты жана чекитти атайт, ал эми жооп берүүчү аны кайсы кызмат сунуштаарын билиши мүмкүн.

Жетишпеген нерсе — барак, бүткүл контекст эмес. Сертификат текшерүүсүнө белгилүү кызмат жана кайталанма булак кошулса, алардын ар бирине караганда көбүрөөк маалымат бериши мүмкүн.

Жооп берүүчү чындыгында эмнени байкай алат

Жооп берүүчү өзүнө жеткен байланышты көрөт: булак дареги, убакыт жана анын жайгаштыруусу жаза турган каалаган транспорт метаберилиши. Эгер статус суроосу VPNге ээрчисе, ал булак колдонуучунун кирүү тармагы эмес, VPN чыгышы болушу мүмкүн. Экөө бир браузер сессиясына таандык деп, статус суроосу барак суроосу менен бирдей жол жүрөт деп ойлобоңуз.

Бир изден тыянак чыгаруунун ордуна кардар колдогон маршруттоону жана текшерүү жүрүм-турумун текшериңиз. Бөлүнгөн туннель эки суроону ар башка багыттарга жибере алат.

Бекитилген жооп — экинчи кеңири тараган үлгү. RFC 6066дагы TLS status_request кеңейтүүсү серверге OCSP жообун өз кол алышуусуна тиркөөгө мүмкүндүк берет, ошондуктан кардар ошол байланыш үчүн статусту өзү алуунун ордуна берилгенди текшерет. Бул жылышуу байкоочуну өзгөртөт. Алууну сервер тарабы жасайт, ал эми кардардын өз дареги ошол байланыш үчүн жооп берүүчүгө эч качан жетпейт.

Статус кол алышууда бекитилген түрдө келиши мүмкүн

Мунун эч бири кардар эч качан башка текшерүү суроосун жасабайт деп кепилдик бербейт. Тизме куруу, статус саясаты жана колдоого алынган механизмдер ишке ашырууга жараша өзгөрөт.

Бир браузердеги сертификат көрсөткүч ар бир операциялык системаны жана VPN кардарын сүрөттөбөйт. Бирдей тармактык жазуу ар башка текшерүү параметрлеринде ар башка нерсени билдириши мүмкүн.

Кэштөө бир барак бир издөө божомолун бузат

Кэштөө барак жүктөөлөрүн издөөлөрдөн ажыратат. Браузер жоопту бир аз убакыт кайра колдоно алат, ошондуктан баракты бир жолу көрүү бир тармактык суроону билдирбейт.

Тескери ката да ошондой эле кеңири тараган. Кэштелген жооп кийинки жаңыртуу качан болорун айтпайт, ал эми жаңыртуу графиги ачылып жаткан баракка байланышсыз болушу мүмкүн. Жазууну OCSPге байлоодон мурун кардардын учурдагы документтерин жана күчүндөгү текшерүү саясатын колдонуңуз.

Жарактуу статус жообу текшерүүчүнүн чынактык жана жаңылык эрежелерине жооп бериши керек, ал эми HTTP 200 жакшы статус менен бирдей эмес. Убакыттын бүтүшү жокко чыгаруу эмес. Бул жыйынтыктар кардардын ар башка жүрүм-турумуна алып келет жана аларды бир катага бириктирүүгө болбойт.

Текшерүүнү бүтүн сактаган купуялуулук тандоолору

Издөөнүн өзү сезимтал жерде системдин ээси менен колдоого алынган жеткирүү жана кэштөө варианттарын талкуулаңыз. Аны жокко чыгарууну текшерүүнү же тизме текшерүүсүн өчүрүү менен чечпеңиз.

Тынч из коопсуз байланыш эмес. Тайпалаштын инсандыгын, тизме текшерүүсүн жана көздөлгөн жокко чыгаруу саясатын бүтүн сактаңыз, ал эми жеткирүү жолун гана жайгаштыруу колдогон вариант аркылуу өзгөртүңүз. Кайсы вариант тандалганын жана анын ээси ким экенин жазып коюңуз.

Издөө күтүлбөгөн жерден пайда болгондо кабыл алуучуну, маршрутту жана сертификат операциясын өз-өзүнчө атаңыз. Эмитенттен жүктөө, статус суроосу жана барак суроосу — үч окуя. Аларды бир деп кароо купуялуулук кароосун так эмес кылат жана кайсы тарап чындыгында бир нерсе билгенин жашырат. Протокол талааларынан баштап, тармак жолуна карай сыртка жылыңыз.