OCSP-personvern: svararen ser eit sertifikat, ikkje URL-en din

Ein statuskontroll stiller eitt spørsmål om eitt sertifikat, og svaret reiser på si eiga tilkopling. Han inneheld ikkje sidestigen som førte til kontrollen. Personverndiskusjonar behandlar ofte utvekslinga som ein straum frå nettlesarhistorikken, noko som overdriv det førespurnaden ber og undervurderer det svararen kan observere. Les førespurnaden før du avgjer kva han avdekkjer.

Førespurnaden identifiserer eitt sertifikat

OCSP-sertifikatidentifikatoren blir bygd av ein hashfunksjon, to hashar frå utgivaren og serienummeret til målsertifikatet, som angitt i RFC 6960. Kvart felt peiker på eitt sertifikat, ikkje på ein URL eller ein HTTP-førespurnad.

Sidestigen, spørjestrengen og eventuelt skjemainnhald manglar i standardidentifikatoren. Påstanden om at svararen mottek den nøyaktige URL-en, krev prov frå ein annan stad enn sertifikatkontrollen. Førespurnaden nemner framleis eit sertifikat og eit augneblink, og svararen kan vite kva teneste som presenterer det.

Det som manglar, er sida, ikkje heile konteksten. Ein sertifikatkontroll pluss ei kjend teneste pluss ei gjentatt kjelde kan vere meir opplysande enn noka av dei åleine.

Kva svararen faktisk kan observere

Svararen ser tilkoplinga som når han: kjeldeadresse, tidspunkt og alle transportmetadata som utplasseringa registrerer. Viss statusførespurnaden følgjer VPN-en, kan den kjelda vere VPN-utgangen i staden for aksessnettet til brukaren. Ikkje gå ut frå at statusførespurnaden tek same veg som sideførespurnaden berre fordi begge høyrer til éin nettlesarøkt.

Kontroller støtta ruting og verifiseringsåtferd hjå klienten i staden for å utleie det frå eitt enkelt spor. Ein delt tunnel kan sende dei to førespurnadene i ulike retningar.

Eit festa svar er det andre vanlege mønsteret. TLS-utvidinga status_request frå RFC 6066 lèt ein tenar feste eit OCSP-svar til sin eigen handtrykk, slik at klienten validerer det han fekk i staden for å hente status sjølv for den tilkoplinga. Det skiftet endrar observatøren. Det er tenarsida som hentar, og den eigne adressa til klienten når aldri svararen for den tilkoplinga.

Status kan kome festa i handtrykket

Ingenting av dette garanterer at ein klient aldri gjer ein ny verifiseringsførespurnad. Kjedeoppbygging, statuspolitikk og støtta mekanismar varierer etter implementasjon.

Ein sertifikatvisar i éin nettlesar er ikkje ei skildring av kvart operativsystem og kvar VPN-klient. Den same nettverksfangsten kan bety ulike ting under ulike verifiseringsinnstillingar.

Hurtigbuffer bryt føresetnaden éi side eitt oppslag

Hurtigbuffer frikoplar sideinnlastingar frå oppslag. Nettlesaren kan gjenbruke eit svar ei tid, så éi sidevising betyr ikkje éin nettverksførespurnad.

Den motsette feilen er like vanleg. Eit bufra svar seier ingenting om når neste oppdatering skjer, og oppdateringsplanen kan vere urelatert til sida som blir opna. Bruk gjeldande dokumentasjon for klienten og den gjeldande verifiseringspolitikken før du tilskriv ein fangst til OCSP.

Eit gyldig statussvar må oppfylle reglane til verifiseraren for ektheit og ferskleik, og ein HTTP 200 er ikkje det same som ein god status. Ein tidsavbrot er ikkje ein tilbakekalling. Desse utfalla fører til ulik klientåtferd og bør ikkje slåast saman til éin feil.

Personvernval som held verifiseringa intakt

Der sjølve oppslaget er sensitivt, diskuter støtta leverings- og hurtigbufferalternativ med systemeigaren. Ikkje løys det ved å slå av tilbakekallingskontroll eller kjedeverifisering.

Eit stillare spor er ikkje ei sikrare tilkopling. Hald peer-identitet, kjedeverifisering og den tiltenkte tilbakekallingspolitikken intakt, og endre leveringsvegen berre gjennom eit alternativ som utplasseringa støttar. Noter kva alternativ som vart valt og kven som eig det.

Når eit oppslag dukkar uventa opp, namnge mottakaren, ruta og sertifikatoperasjonen kvar for seg. Ei utgivar-nedlasting, ein statusførespurnad og sideførespurnaden er tre hendingar. Å behandle dei som éin gjer personvernvurderinga unøyaktig og skjuler kva part som faktisk lærte noko. Start ved protokollfelta og arbeid deg utover til nettverksbanen.