Privatezza tal-OCSP: ir-respondent jara ċertifikat, mhux l-URL tiegħek

Verifika tal-istat tistaqsi mistoqsija waħda dwar ċertifikat wieħed, u t-tweġiba tivvjaġġa fuq konnessjoni tagħha stess. Ma jkunx fiha l-passaġġ tal-paġna li wassal għall-verifika. Diskussjonijiet dwar il-privatezza spiss jittrattaw dan l-iskambju bħala fluss tal-kronoloġija tal-browsing, li tistma wisq dak li ġġorr it-talba u tistma inqas dak li r-respondent jista' josserva. Aqra t-talba qabel tiddeċiedi x'jiżvela.

It-talba tidentifika ċertifikat wieħed

L-identifikatur taċ-ċertifikat OCSP jinbena minn funzjoni hash, żewġ hashs tal-emittent u n-numru tas-serje taċ-ċertifikat fil-mira, kif speċifikat fl-RFC 6960. Kull qasam jindika ċertifikat wieħed, mhux URL jew talba HTTP.

Il-passaġġ tal-paġna, is-sekwenza tal-mistoqsija u kwalunkwe kontenut tal-formola huma neqsin mill-identifikatur standard. Id-dikjarazzjoni li r-respondent jirċievi l-URL preċiż teħtieġ provi minn x'imkien ieħor u mhux mill-verifika taċ-ċertifikat. It-talba xorta ssemmi ċertifikat u mument, u r-respondent jista' jkun jaf liema servizz jippreżentah.

Dak li jonqos hija l-paġna, mhux il-kuntest kollu. Verifika taċ-ċertifikat flimkien ma' servizz magħruf flimkien ma' sors ripetut jistgħu jagħtu aktar minn kwalunkwe waħda minnhom waħedha.

X'jista' verament josserva r-respondent

Ir-respondent jara l-konnessjoni li tasal għandu: indirizz tas-sors, ħin u kwalunkwe metadejta tat-trasport li tirreġistra l-varar tiegħu. Jekk it-talba tal-istat issegwi l-VPN, dak is-sors jista' jkun il-ħruġ tal-VPN minflok in-netwerk tal-aċċess tal-utent. Tassumix li t-talba tal-istat tieħu l-istess passaġġ tat-talba tal-paġna biss għax it-tnejn jappartjenu għal sessjoni waħda tal-browser.

Iċċekkja r-routing u l-imġiba tal-verifika appoġġjati mill-klijent minflok ma tiddeduċihom minn traċċa waħda. Tunnel maqsum jista' jibgħat iż-żewġ talbiet f'direzzjonijiet differenti.

Tweġiba stapiljata hija l-pattern komuni l-ieħor. L-estensjoni TLS status_request mill-RFC 6066 tippermetti lis-server jehmeż tweġiba OCSP mal-handshake tiegħu stess, sabiex il-klijent jivvalida dak li ngħata minflok ma jiġbor l-istat huwa stess għal dik il-konnessjoni. Dan ix-xift ibiddel l-osservatur. In-naħa tas-server tagħmel il-ġbir, u l-indirizz tal-klijent stess qatt ma jasal għand ir-respondent għal dik il-konnessjoni.

L-istat jista' jasal stapiljat fil-handshake

Xejn minn dan ma jiggarantixxi li klijent qatt ma jagħmel talba oħra ta' verifika. Il-bini tal-katina, il-politika tal-istat u l-mekkaniżmi appoġġjati jvarjaw skont l-implimentazzjoni.

Viżwalizzatur taċ-ċertifikati fi browser wieħed mhuwiex deskrizzjoni ta' kull sistema operattiva u klijent VPN. L-istess qabda tan-netwerk tista' tfisser affarijiet differenti taħt settings differenti ta' verifika.

Il-cache tkisser il-preżunzjoni paġna waħda tfittxija waħda

Il-cache tissepara t-tagħbijiet tal-paġna mit-tfittxijiet. Il-browser jista' jerġa' juża tweġiba għal perjodu, għalhekk żjara waħda tal-paġna ma tfissirx talba waħda tan-netwerk.

L-iżball oppost huwa daqstant komuni. Tweġiba fil-cache ma tgħid xejn dwar meta sseħħ il-ġirja li jmiss, u l-iskeda tal-ġirja tista' ma tkunx relatata mal-paġna li tinfetaħ. Uża d-dokumentazzjoni attwali tal-klijent u l-politika tal-verifika fis-seħħ qabel tattribwixxi qabda lill-OCSP.

Tweġiba tal-istat valida trid tissodisfa r-regoli tal-awtentiċità u l-freskezza tal-verifikatur, u HTTP 200 mhuwiex l-istess bħal stat tajjeb. Timeout mhuwiex revoka. Dawn ir-riżultati jwasslu għal imġiba differenti tal-klijent u m'għandhomx jiġu magħquda f'żball wieħed.

Għażliet ta' privatezza li jżommu l-verifika intatta

Fejn it-tfittxija nnifisha hija sensittiva, iddiskuti l-għażliet tal-kunsinna u tal-cache appoġġjati mas-sid tas-sistema. Tissolvix dan billi tiddiżattiva l-verifika tar-revoka jew il-validazzjoni tal-katina.

Traċċa aktar kwieta mhijiex konnessjoni aktar sigura. Żomm intatti l-identità tal-pari, il-validazzjoni tal-katina u l-politika tar-revoka maħsuba, u biddel il-passaġġ tal-kunsinna biss permezz ta' għażla li tappoġġja l-varar. Irreġistra liema għażla ntgħażlet u min hija sidha.

Meta tfittxija tidher bla mistenni, semmi l-riċevitur, il-passaġġ u l-operazzjoni taċ-ċertifikat separatament. Download mill-emittent, mistoqsija tal-istat u t-talba tal-paġna huma tliet avvenimenti. Li jittrattawhom bħala wieħed jagħmel id-diskussjoni tal-privatezza mhux preċiża u jaħbi liema parti verament tgħallmet xi ħaġa. Ibda mill-oqsma tal-protokoll u mex xi barra lejn il-passaġġ tan-netwerk.