OCSP-Privatsphär: de Responder gesäit e Certificat, net Är URL

Eng Statuspréift stellt eng Fro iwwer ee Certificat, an d’Äntwert reest op senger eegener Verbindung. Si enthält net de Pad vun der Säit, deen zur Préift gefouert huet. Privatsphär-Diskussiounen behandelen den Austausch dacks wéi eng Feed vun der Browserhistorie, wat iwwerschätzt, wat d’Ufro dréit, an ënnerschätzt, wat de Responder observéiere kann. Liest d’Ufro, ier Dir decidéiert, wat se verréid.

D’Ufro identifizéiert ee Certificat

Den OCSP-Certificats-Identifiant gëtt aus enger Hashfunktioun, zwee Hashes vum Aussteller an der Seriennummer vum Zilcertificat gebaut, wéi et an RFC 6960 festgeluecht ass. Jiddwer Feld weist op ee Certificat, net op eng URL oder eng HTTP-Ufro.

De Pad vun der Säit, de Query-String an all Formulaire-Inhalt feele am Standardidentifiant. D’Behaaptung, datt de Responder déi genee URL kritt, brauch Beweiser vun enger anerer Plaz wéi vun der Certificatspréift. D’Ufro nennt nach ëmmer e Certificat an e Moment, an de Responder kann wëssen, wéi en Deenst en presentéiert.

Wat feelt, ass d’Säit, net de ganzen Kontext. Eng Certificatspréift plus en bekannten Deenst plus eng widderholl Quell kënnen informative sinn wéi jiddweree vun hinnen eleng.

Wat de Responder tatsächlech observéiere kann

De Responder gesäit d’Verbindung, déi bei hien ukommt: Quelladress, Timing an all Transportmetadaten, déi seng Deployement opgehëlt. Wann d’Statusufro dem VPN follegt, kann déi Quell de VPN-Ausgang sinn anstatt den Zougangsnetz vum Benotzer. Hält net un, datt d’Statusufro deeselwechte Pad hëlt wéi d’Säitenufro, just well béid zu enger Browser-Sessioun gehéieren.

Préift dat ënnerstëtzt Routing an d’Verifikatiounsverhalen vum Client, amplaz et aus engem eenzege Spuer ofzeleeden. En gedeelten Tunnel kann déi zwou Ufroe an ënnerschiddlech Richtunge schécken.

Eng gestapelt Äntwert ass dat anert heefegst Muster. D’TLS-Erweiderung status_request aus RFC 6066 erlaabt engem Server, eng OCSP-Äntwert u säin eegene Handshake unzehänken, sou datt de Client verifizéiert, wat him gin gouf, amplaz selwer de Status fir déi Verbindung ze sichen. Dës Verrécklung ännert den Observateur. D’Serversäit mécht d’Sichen, an d’eegen Adress vum Client erreecht de Responder ni fir déi Verbindung.

De Status kann am Handshake gestapelt ukommen

Näischt dovun garantéiert, datt e Client ni nach eng aner Verifikatiounsufro mécht. Kettenbau, Statuspolitik an ënnerstëtzt Mechanismen ënnerscheeden sech no Implementatioun.

En Certificatsbetrachter an engem Browser ass keng Beschreiwung vun all Betribssystem an all VPN-Client. Dee selwechten Netzwierk-Capture kann ënner ënnerschiddlechen Verifikatiounsastellungen verschiddenes bedeiten.

Caching brécht d’Unhu vun enger Säit pro enger Recherche

Caching decoupléiert Säiteluede vun Recherchen. De Browser kann eng Äntwert eng Zäit laang nees benotzen, also heescht eng Säitevisite net eng Netzwierk-Ufro.

De géigedeelte Feeler ass grad esou heefeg. Eng gecachte Äntwert seet näischt driwwer, wéini déi nächst Erfrëschung geschitt, an den Erfrëschungsplang kann onofhängeg vun der Säit sinn, déi opgemaach gëtt. Benotzt déi aktuell Dokumentatioun vum Client an déi gëlteg Verifikatiounspolitik, ier Dir e Capture dem OCSP uschreift.

Eng gülteg Statusantwort muss d’Regele vun Échtheet a Fräschheet vum Verifizéierer erfëllen, an en HTTP 200 ass net datselwecht wéi e gudde Status. En Timeout ass keng Widderruffung. Dës Resultater féieren zu verschiddenem Clientverhalen a sollen net zu engem eenzege Feeler zesummegesat ginn.

Privatsphär-Wahlen, déi d’Verifikatioun intakt halen

Wou d’Recherche selwer sensibel ass, diskutéiert ënnerstëtzt Liwwer- a Cachingoptiounen mam Systembesëtzer. Léist et net, andeems Dir d’Widderruffungspréift oder d’Kettenverifikatioun ofschalt.

En méi rouege Spuer ass keng méi sécher Verbindung. Hält Peer-Identitéit, Kettenverifikatioun an déi intendéiert Widderruffungspolitik intakt, a ännert de Liwwerpad nëmmen iwwer eng Optioun, déi d’Deployement ënnerstëtzt. Notéiert, wéi eng Optioun gewielt gouf a wien se besëtzt.

Wann eng Recherche onerwaart opdaucht, nennt den Empfänger, de Pad an d’Certificatsoperatioun getrennt. En Aussteller-Download, eng Statusfro an d’Säitenufro sinn dräi Evenementer. Se als eng ze behandelen mécht d’Privatsphär-Revue ongenee a verstoppt, wéi eng Partei tatsächlech eppes geléiert huet. Fänkt bei de Protokollfelder un a schafft Iech no baussen zum Netzwierkpad.