OCSP-ийн нууцлал: хариулагч сертификатыг хардаг, таны URL-ийг биш

Төлөвийн шалгалт нэг сертификатын тухай нэг асуулт асуудаг бөгөөд хариулт нь өөрийн холболтоор явдаг. Энэ нь шалгалтад хүргэсэн хуудасны замыг агуулаагүй. Нууцлалын хэлэлцүүлэг энэ солилцоог ихэвчлэн хөтчийн түүхийн урсгал гэж үздэг нь хүсэлт юу авч явааг хэтрүүлж, хариулагч юу ажиглаж болохыг дутуу үнэлдэг. Юу илчлэхийг шийдэхийн өмнө хүсэлтийг уншина уу.

Хүсэлт нэг сертификатыг тодорхойлдог

OCSP сертификатын танигч нь хэш функц, хэвлэгчийн хоёр хэш болон зорилтот сертификатын серийн дугаараас бүрддэг бөгөөд энэ нь RFC 6960-д заасан. Талбар бүр нэг сертификатыг заадаг, URL эсвэл HTTP хүсэлтийг биш.

Хуудасны зам, асуулгын мөр болон аливаа маягтын агуулга стандарт танигчид байхгүй. Хариулагч яг URL-ийг хүлээн авдаг гэсэн мэдэгдэл сертификатын шалгалтаас өөр газраас нотолгоо шаарддаг. Хүсэлт нэг сертификат болон агшинг нэрлэсээр байгаа бөгөөд хариулагч түүнийг аль үйлчилгээ танилцуулж байгааг мэдэж болно.

Дутагдаж байгаа нь хуудас, бүх контекст биш. Сертификатын шалгалт дээр мэдэгдэх үйлчилгээ, давтагдах эх сурвалж нэмэгдвэл тэдгээрийн аль нэгээс илүү мэдээлэлтэй байж болно.

Хариулагч бодитоор юу ажиглаж чадах вэ

Хариулагч түүнд хүрч буй холболтыг хардаг: эх хаяг, цаг хугацаа болон түүний байршуулалт бүртгэдэг аливаа тээврийн мета өгөгдөл. Хэрэв төлөвийн хүсэлт VPN-ийг дагаж байвал тэр эх сурвалж нь хэрэглэгчийн хандалтын сүлжээ биш, VPN-ийн гарц байж болно. Хоёулаа нэг хөтчийн сессэд хамаардаг гэсэн шалтгаанаар төлөвийн хүсэлт хуудасны хүсэлттэй ижил замаар явдаг гэж бүү үз.

Нэг ул мөрөөс дүгнэлт хийхийн оронд клиентийн дэмждэг чиглүүлэлт болон баталгаажуулалтын зан төлөвийг шалгана уу. Хуваасан туннель хоёр хүсэлтийг өөр өөр чиглэлд илгээж болно.

Бэхэлсэн хариулт нь бусад нийтлэг загвар юм. RFC 6066-ийн TLS status_request өргөтгөл нь серверт өөрийн гар барилцаанд OCSP хариулт хавсаргах боломж олгодог тул клиент тэр холболтын төлөвийг өөрөө авчрахын оронд өгөгдсөнийг баталгаажуулдаг. Энэ шилжилт ажиглагчийг өөрчилдөг. Авах үйлдлийг серверийн тал хийдэг бөгөөд клиентийн өөрийн хаяг тэр холболтын хувьд хариулагчид хэзээ ч хүрдэггүй.

Төлөв нь гар барилцаанд бэхлэгдсэн байдлаар ирж болно

Эдгээрийн аль нь ч клиент дахин баталгаажуулалтын хүсэлт хэзээ ч гаргахгүй гэдгийг баталгаажуулахгүй. Гинжин хэлхээ байгуулах, төлөвийн бодлого болон дэмжигдэх механизмууд хэрэгжүүлэлтээс хамаарч өөр өөр байдаг.

Нэг хөтч дэх сертификат харагч нь бүх үйлдлийн систем болон VPN клиентийн тодорхойлолт биш. Ижил сүлжээний бичлэг өөр өөр баталгаажуулалтын тохиргоонд өөр утгатай байж болно.

Кэшлэлт нь нэг хуудас нэг хайлт гэсэн таамаглалыг эвддэг

Кэшлэлт нь хуудасны ачааллыг хайлтаас тусгаарладаг. Хөтч хариултыг тодорхой хугацаанд дахин ашиглаж болох тул нэг хуудас үзэх нь нэг сүлжээний хүсэлт гэсэн үг биш.

Эсрэг алдаа мөн адил нийтлэг. Кэшлэсэн хариулт дараагийн шинэчлэлт хэзээ болохыг хэлэхгүй бөгөөд шинэчлэлтийн хуваарь нээгдэж буй хуудастай холбоогүй байж болно. Бичлэгийг OCSP-т хамааруулахын өмнө клиентийн одоогийн баримт бичиг болон хүчин төгөлдөр баталгаажуулалтын бодлогыг ашиглана уу.

Хүчинтэй төлөвийн хариулт нь баталгаажуулагчийн жинхэнэ байдал болон шинэлэг байдлын дүрмийг хангах ёстой бөгөөд HTTP 200 нь сайн төлөвтэй ижил биш. Хугацаа дуусах нь хүчингүй болгох биш. Эдгээр үр дүн нь клиентийн өөр зан төлөвт хүргэдэг тул нэг алдаа болгон нэгтгэж болохгүй.

Баталгаажуулалтыг бүрэн бүтэн байлгах нууцлалын сонголтууд

Хайлт өөрөө мэдрэмтгий үед системийн эзэнтэй дэмжигдэх хүргэлт болон кэшлэлтийн сонголтыг хэлэлцэнэ үү. Үүнийг хүчингүй болгох шалгалт эсвэл гинжин баталгаажуулалтыг унтраах замаар бүү шийд.

Илүү тайван ул мөр нь илүү аюулгүй холболт биш. Хамтрагчийн таних тэмдэг, гинжин баталгаажуулалт болон төлөвлөсөн хүчингүй болгох бодлогыг бүрэн бүтэн байлгаж, хүргэлтийн замыг зөвхөн байршуулалт дэмждэг сонголтоор өөрчилнө үү. Аль сонголтыг сонгосон, түүний эзэн хэн болохыг тэмдэглэнэ үү.

Хайлт гэнэт гарч ирэхэд хүлээн авагч, замнал болон сертификатын үйлдлийг тус тусад нь нэрлэнэ үү. Хэвлэгчээс татах, төлөвийн асуулга болон хуудасны хүсэлт гэсэн гурван үйл явдал байна. Тэдгээрийг нэг гэж үзэх нь нууцлалын хяналтыг буруу болгож, аль тал үнэхээр ямар нэг зүйл мэдсэнийг нуудаг. Протоколын талбараас эхэлж, сүлжээний зам руу гадагшлан ажиллана уу.