ความเป็นส่วนตัวของ OCSP: ผู้ตอบเห็นใบรับรอง ไม่ใช่ URL ของคุณ

การตรวจสอบสถานะถามคำถามหนึ่งข้อเกี่ยวกับใบรับรองหนึ่งใบ และคำตอบเดินทางบนการเชื่อมต่อของตัวเอง มันไม่มีเส้นทางของหน้าที่นำไปสู่การตรวจสอบ การสนทนาเรื่องความเป็นส่วนตัวมักถือว่าการแลกเปลี่ยนนี้เป็นฟีดประวัติการท่องเว็บ ซึ่งเกินจริงถึงสิ่งที่คำขอพกพาและลดคุณค่าสิ่งที่ผู้ตอบสามารถสังเกตได้ อ่านคำขอก่อนตัดสินใจว่ามันเปิดเผยอะไร

คำขอระบุใบรับรองหนึ่งใบ

ตัวระบุใบรับรอง OCSP สร้างจากฟังก์ชันแฮช แฮชสองค่าของผู้ออก และหมายเลขซีเรียลของใบรับรองเป้าหมาย ตามที่กำหนดใน RFC 6960 แต่ละฟิลด์ชี้ไปที่ใบรับรองหนึ่งใบ ไม่ใช่ URL หรือคำขอ HTTP

เส้นทางของหน้า สตริงคำค้น และเนื้อหาแบบฟอร์มใด ๆ ไม่ปรากฏในตัวระบุมาตรฐาน ข้ออ้างที่ว่าผู้ตอบได้รับ URL ที่แน่นอนต้องมีหลักฐานจากที่อื่นที่ไม่ใช่การตรวจสอบใบรับรอง คำขอยังระบุใบรับรองและช่วงเวลาหนึ่ง และผู้ตอบอาจรู้ว่าบริการใดเป็นผู้แสดง

สิ่งที่ขาดคือหน้า ไม่ใช่บริบททั้งหมด การตรวจสอบใบรับรองพร้อมบริการที่รู้จักพร้อมแหล่งที่เกิดซ้ำอาจให้ข้อมูลมากกว่าอย่างใดอย่างหนึ่งเพียงลำพัง

สิ่งที่ผู้ตอบสามารถสังเกตได้จริง

ผู้ตอบเห็นการเชื่อมต่อที่มาถึง: ที่อยู่ต้นทาง เวลา และข้อมูลเมตาของการขนส่งใด ๆ ที่การติดตั้งของตนบันทึกไว้ หากคำขอสถานะผ่าน VPN แหล่งนั้นอาจเป็นทางออกของ VPN ไม่ใช่เครือข่ายเข้าถึงของผู้ใช้ อย่าสันนิษฐานว่าคำขอสถานะใช้เส้นทางเดียวกับคำขอหน้าเพียงเพราะทั้งคู่อยู่ในเซสชันเบราว์เซอร์เดียวกัน

ตรวจสอบการกำหนดเส้นทางและพฤติกรรมการตรวจสอบที่ไคลเอนต์รองรับแทนการอนุมานจากร่องรอยเดียว อุโมงค์แบบแยกส่วนอาจส่งคำขอทั้งสองไปในทิศทางที่ต่างกัน

การตอบกลับแบบติดตรึงเป็นรูปแบบทั่วไปอีกรูปแบบหนึ่ง ส่วนขยาย TLS status_request จาก RFC 6066 ให้เซิร์ฟเวอร์แนบการตอบกลับ OCSP กับการจับมือของตัวเอง ดังนั้นไคลเอนต์จะตรวจสอบสิ่งที่ได้รับแทนที่จะดึงสถานะเองสำหรับการเชื่อมต่อนั้น การเปลี่ยนแปลงนั้นเปลี่ยนผู้สังเกต ฝั่งเซิร์ฟเวอร์เป็นผู้ดึง และที่อยู่ของไคลเอนต์เองไม่เคยไปถึงผู้ตอบสำหรับการเชื่อมต่อนั้น

สถานะอาจมาถึงแบบติดตรึงในการจับมือ

ไม่มีส่วนใดรับประกันว่าไคลเอนต์จะไม่ส่งคำขอตรวจสอบอื่นอีก การสร้างห่วงโซ่ นโยบายสถานะ และกลไกที่รองรับแตกต่างกันตามการนำไปใช้

ตัวดูใบรับรองในเบราว์เซอร์หนึ่งไม่ใช่คำอธิบายของทุกระบบปฏิบัติการและไคลเอนต์ VPN การดักจับเครือข่ายเดียวกันอาจหมายถึงสิ่งที่ต่างกันภายใต้การตั้งค่าการตรวจสอบที่ต่างกัน

แคชทำให้สมมติฐานหนึ่งหน้าหนึ่งการค้นหาพังทลาย

แคชแยกการโหลดหน้าออกจากการค้นหา เบราว์เซอร์อาจใช้การตอบกลับซ้ำในช่วงเวลาหนึ่ง ดังนั้นการดูหน้าหนึ่งครั้งไม่ได้หมายถึงคำขอเครือข่ายหนึ่งครั้ง

ข้อผิดพลาดตรงกันข้ามก็พบได้บ่อยเช่นกัน การตอบกลับที่แคชไว้ไม่ได้บอกอะไรเกี่ยวกับเวลาของการรีเฟรชครั้งถัดไป และตารางการรีเฟรชอาจไม่เกี่ยวข้องกับหน้าที่เปิดอยู่ ใช้เอกสารปัจจุบันของไคลเอนต์และนโยบายการตรวจสอบที่บังคับใช้ก่อนที่จะถือว่าการดักจับเป็นการทำงานของ OCSP

การตอบกลับสถานะที่ใช้ได้ต้องเป็นไปตามกฎความถูกต้องและความสดใหม่ของผู้ตรวจสอบ และ HTTP 200 ไม่เหมือนกับสถานะที่ดี การหมดเวลาไม่ใช่การเพิกถอน ผลลัพธ์เหล่านี้ทำให้พฤติกรรมของไคลเอนต์ต่างกันและไม่ควรยุบรวมเป็นข้อผิดพลาดเดียว

ทางเลือกด้านความเป็นส่วนตัวที่รักษาการตรวจสอบไว้ครบถ้วน

เมื่อการค้นหาเองอ่อนไหว ควรหารือทางเลือกการส่งมอบและการแคชที่รองรับกับเจ้าของระบบ อย่าแก้ปัญหาด้วยการปิดการตรวจสอบการเพิกถอนหรือการตรวจสอบห่วงโซ่

ร่องรอยที่เงียบกว่าไม่ใช่การเชื่อมต่อที่ปลอดภัยกว่า รักษาตัวตนของคู่สนทนา การตรวจสอบห่วงโซ่ และนโยบายการเพิกถอนที่ตั้งใจไว้ให้ครบถ้วน และเปลี่ยนเส้นทางการส่งมอบผ่านทางเลือกที่การติดตั้งรองรับเท่านั้น บันทึกว่ามีการเลือกทางเลือกใดและใครเป็นเจ้าของ

เมื่อการค้นหาปรากฏขึ้นอย่างไม่คาดคิด ให้ระบุผู้รับ เส้นทาง และการดำเนินการกับใบรับรองแยกจากกัน การดาวน์โหลดจากผู้ออก การสอบถามสถานะ และคำขอหน้าเป็นสามเหตุการณ์ การถือว่าทั้งหมดเป็นหนึ่งเดียวทำให้การทบทวนความเป็นส่วนตัวไม่ถูกต้องและปิดบังว่าฝ่ายใดได้เรียนรู้อะไรจริง เริ่มจากฟิลด์ของโปรโตคอลและเคลื่อนออกไปสู่เส้นทางเครือข่าย