OCSP privātums: atbildētājs redz sertifikātu, nevis jūsu URL

Statusa pārbaude uzdod vienu jautājumu par vienu sertifikātu, un atbilde ceļo pa savienojumu, kas ir tikai tai. Tā nesatur lapas ceļu, kas noveda pie pārbaudes. Privātuma diskusijas bieži šo apmaiņu uztver kā pārlūkošanas vēstures plūsmu, kas pārvērtē to, ko pieprasījums nes, un nenovērtē to, ko atbildētājs var novērot. Izlasiet pieprasījumu, pirms izlemjat, ko tas atklāj.

Pieprasījums identificē vienu sertifikātu

OCSP sertifikāta identifikators tiek veidots no jaucējfunkcijas, diviem izdevēja jaucējiem un mērķa sertifikāta sērijas numura, kā noteikts RFC 6960. Katrs lauks norāda uz vienu sertifikātu, nevis uz URL vai HTTP pieprasījumu.

Lapas ceļš, vaicājuma virkne un jebkurš veidlapas saturs standarta identifikatorā nav iekļauti. Apgalvojumam, ka atbildētājs saņem precīzu URL, vajadzīgi pierādījumi no citurienes, nevis no sertifikāta pārbaudes. Pieprasījums joprojām nosauc sertifikātu un momentu, un atbildētājs var zināt, kurš pakalpojums to uzrāda.

Trūkst lapas, nevis visa konteksta. Sertifikāta pārbaude kopā ar zināmu pakalpojumu kopā ar atkārtotu avotu var būt informatīvāka nekā jebkurš no tiem atsevišķi.

Ko atbildētājs patiešām var novērot

Atbildētājs redz savienojumu, kas viņu sasniedz: avota adresi, laiku un jebkurus transporta metadatus, ko ieraksta tā izvietojums. Ja statusa pieprasījums seko VPN, šis avots var būt VPN izeja, nevis lietotāja piekļuves tīkls. Nepieņemiet, ka statusa pieprasījums iet to pašu ceļu kā lapas pieprasījums, tikai tāpēc, ka abi pieder vienai pārlūka sesijai.

Pārbaudiet klienta atbalstīto maršrutēšanu un verifikācijas uzvedību, tā vietā lai to secinātu no vienas pēdas. Sadalīts tunelis var nosūtīt abus pieprasījumus dažādos virzienos.

Piespraustā atbilde ir otrs izplatītais modelis. RFC 6066 TLS status_request paplašinājums ļauj serverim pievienot OCSP atbildi savai roku sasveicināšanai, tāpēc klients validē to, kas tam dots, nevis pats iegūst statusu šim savienojumam. Šī nobīde maina novērotāju. Iegūšanu veic servera puse, un paša klienta adrese šim savienojumam nekad nesasniedz atbildētāju.

Statuss var ierasties piesprausts roku sasveicināšanā

Nekas no tā negarantē, ka klients nekad neveiks vēl vienu verifikācijas pieprasījumu. Ķēdes veidošana, statusa politika un atbalstītie mehānismi atšķiras atkarībā no ieviešanas.

Sertifikātu skatītājs vienā pārlūkā nav katra operētājsistēma un VPN klienta apraksts. Tas pats tīkla uztveršanas fails dažādos verifikācijas iestatījumos var nozīmēt dažādas lietas.

Kešošana lauž pieņēmumu viena lapa viens meklējums

Kešošana atsaista lapu ielādi no meklējumiem. Pārlūks var kādu laiku atkārtoti izmantot atbildi, tāpēc viena lapas apskate nenozīmē vienu tīkla pieprasījumu.

Pretējā kļūda ir tikpat izplatīta. Kešotā atbilde neko nepasaka par to, kad notiks nākamā atjaunināšana, un atjaunināšanas grafiks var būt nesaistīts ar atveramo lapu. Pirms attiecināt uztveršanu uz OCSP, izmantojiet pašreizējo klienta dokumentāciju un spēkā esošo verifikācijas politiku.

Derīgai statusa atbildei jāatbilst verifikatora autentiskuma un svaiguma noteikumiem, un HTTP 200 nav tas pats, kas labs statuss. Taimauts nav atsaukšana. Šie rezultāti noved pie atšķirīgas klienta uzvedības, un tos nevajadzētu apvienot vienā kļūdā.

Privātuma izvēles, kas saglabā verifikāciju neskartu

Ja pats meklējums ir sensitīvs, pārrunājiet atbalstītās piegādes un kešošanas iespējas ar sistēmas īpašnieku. Nerisiniet to, izslēdzot atsaukšanas pārbaudi vai ķēdes verifikāciju.

Klusāka pēda nav drošāks savienojums. Saglabājiet neskartu partnera identitāti, ķēdes verifikāciju un paredzēto atsaukšanas politiku, un mainiet piegādes ceļu tikai ar iespēju, ko atbalsta izvietojums. Pierakstiet, kura iespēja tika izvēlēta un kam tā pieder.

Kad meklējums parādās negaidīti, atsevišķi nosauciet saņēmēju, maršrutu un sertifikāta darbību. Izdevēja lejupielāde, statusa vaicājums un lapas pieprasījums ir trīs notikumi. Uztverot tos kā vienu, privātuma pārskats kļūst neprecīzs un tiek paslēpts, kura puse patiešām kaut ko uzzināja. Sāciet ar protokola laukiem un virzieties uz āru līdz tīkla ceļam.