OCSP gizliliği: yanıtlayıcı sertifikayı görür, URL'nizi değil

Durum denetimi tek bir sertifika hakkında tek bir soru sorar ve yanıt kendi bağlantısı üzerinden gider. İçinde denetime yol açan sayfanın yolu yoktur. Gizlilik tartışmaları bu alışverişi çoğu zaman bir tarama geçmişi akışı olarak ele alır; bu, isteğin taşıdığını abartır ve yanıtlayıcının gözlemleyebileceğini küçümser. Neyi açığa çıkardığına karar vermeden önce isteği okuyun.

İstek tek bir sertifikayı tanımlar

OCSP sertifika tanımlayıcısı, RFC 6960'da belirtildiği gibi bir karma işlevi, verenin iki karması ve hedef sertifikanın seri numarasından oluşturulur. Her alan tek bir sertifikaya işaret eder, bir URL'ye veya HTTP isteğine değil.

Sayfanın yolu, sorgu dizesi ve herhangi bir form içeriği standart tanımlayıcıda yoktur. Yanıtlayıcının tam URL'yi aldığı iddiası, sertifika denetimi dışında bir yerden kanıt gerektirir. İstek hâlâ bir sertifika ve bir an adlandırır ve yanıtlayıcı bunu hangi hizmetin sunduğunu bilebilir.

Eksik olan sayfadır, tüm bağlam değil. Sertifika denetimi artı bilinen bir hizmet artı yinelenen bir kaynak, bunlardan herhangi birinin tek başına söyleyeceğinden fazlasını söyleyebilir.

Yanıtlayıcının gerçekte gözlemleyebildikleri

Yanıtlayıcı kendisine ulaşan bağlantıyı görür: kaynak adresi, zamanlama ve dağıtımının kaydettiği her türlü taşıma üst verisi. Durum isteği VPN'i izliyorsa, bu kaynak kullanıcının erişim ağı değil VPN çıkışı olabilir. Sırf ikisi de aynı tarayıcı oturumuna ait diye durum isteğinin sayfa isteğiyle aynı yolu izlediğini varsaymayın.

Tek bir izden çıkarım yapmak yerine istemcinin desteklediği yönlendirmeyi ve doğrulama davranışını denetleyin. Bölünmüş bir tünel iki isteği farklı yönlere gönderebilir.

Sabitlenmiş yanıt diğer yaygın kalıptır. RFC 6066'daki TLS status_request uzantısı, bir sunucunun kendi el sıkışmasına OCSP yanıtı eklemesine izin verir; böylece istemci o bağlantı için durumu kendisi getirmek yerine verileni doğrular. Bu kayma gözlemciyi değiştirir. Getirmeyi sunucu tarafı yapar ve istemcinin kendi adresi o bağlantı için yanıtlayıcıya asla ulaşmaz.

Durum el sıkışmasında sabitlenmiş olarak gelebilir

Bunların hiçbiri istemcinin bir daha asla başka bir doğrulama isteği yapmayacağını garanti etmez. Zincir oluşturma, durum ilkesi ve desteklenen mekanizmalar uygulamaya göre değişir.

Tek bir tarayıcıdaki sertifika görüntüleyicisi her işletim sisteminin ve VPN istemcisinin tanımı değildir. Aynı ağ yakalama kaydı farklı doğrulama ayarları altında farklı anlamlara gelebilir.

Önbellekleme tek sayfa tek arama varsayımını bozar

Önbellekleme sayfa yüklemelerini aramalardan ayırır. Tarayıcı bir yanıtı bir süre yeniden kullanabilir, yani tek bir sayfa görüntülemesi tek bir ağ isteği anlamına gelmez.

Karşıt hata da aynı ölçüde yaygındır. Önbelleğe alınmış yanıt bir sonraki yenilemenin ne zaman olacağı hakkında hiçbir şey söylemez ve yenileme takvimi açılan sayfayla ilgisiz olabilir. Bir yakalama kaydını OCSP'ye atfetmeden önce istemcinin güncel belgelerini ve yürürlükteki doğrulama ilkesini kullanın.

Geçerli bir durum yanıtı doğrulayıcının özgünlük ve tazelik kurallarını karşılamalıdır ve HTTP 200 iyi bir durumla aynı şey değildir. Zaman aşımı bir iptal değildir. Bu sonuçlar farklı istemci davranışına yol açar ve tek bir hatada birleştirilmemelidir.

Doğrulamayı bozulmadan koruyan gizlilik seçenekleri

Aramanın kendisi hassassa, desteklenen teslimat ve önbellekleme seçeneklerini sistem sahibiyle görüşün. Bunu iptal denetimini veya zincir doğrulamasını kapatarak çözmeyin.

Daha sessiz bir iz daha güvenli bir bağlantı değildir. Eş kimliğini, zincir doğrulamasını ve amaçlanan iptal ilkesini bozulmadan koruyun ve teslimat yolunu yalnızca dağıtımın desteklediği bir seçenek aracılığıyla değiştirin. Hangi seçeneğin seçildiğini ve sahibinin kim olduğunu kaydedin.

Bir arama beklenmedik biçimde ortaya çıktığında alıcıyı, rotayı ve sertifika işlemini ayrı ayrı adlandırın. Verenden indirme, durum sorgusu ve sayfa isteği üç olaydır. Bunları tek olarak ele almak gizlilik incelemesini yanlış kılar ve hangi tarafın gerçekten bir şey öğrendiğini gizler. Protokol alanlarından başlayın ve dışa doğru ağ yoluna ilerleyin.