Quyền riêng tư OCSP: máy trả lời thấy chứng chỉ, không thấy URL của bạn

Một lần kiểm tra trạng thái đặt một câu hỏi về một chứng chỉ, và câu trả lời đi trên kết nối riêng của nó. Nó không chứa đường dẫn trang đã dẫn đến việc kiểm tra. Các cuộc thảo luận về quyền riêng tư thường coi trao đổi này như một nguồn cấp lịch sử duyệt web, điều này phóng đại những gì yêu cầu mang theo và xem nhẹ những gì máy trả lời có thể quan sát. Hãy đọc yêu cầu trước khi quyết định nó tiết lộ điều gì.

Yêu cầu nhận diện một chứng chỉ

Định danh chứng chỉ OCSP được tạo từ một hàm băm, hai giá trị băm của nhà phát hành và số sê-ri của chứng chỉ đích, như quy định trong RFC 6960. Mỗi trường trỏ đến một chứng chỉ, không phải URL hay yêu cầu HTTP.

Đường dẫn trang, chuỗi truy vấn và mọi nội dung biểu mẫu đều vắng mặt trong định danh chuẩn. Tuyên bố rằng máy trả lời nhận được URL chính xác cần bằng chứng từ nơi khác chứ không phải từ việc kiểm tra chứng chỉ. Yêu cầu vẫn nêu một chứng chỉ và một thời điểm, và máy trả lời có thể biết dịch vụ nào trình bày nó.

Điều còn thiếu là trang, không phải toàn bộ ngữ cảnh. Kiểm tra chứng chỉ cùng một dịch vụ đã biết cùng một nguồn lặp lại có thể cho biết nhiều hơn bất kỳ yếu tố nào trong số đó riêng lẻ.

Máy trả lời thực sự có thể quan sát được gì

Máy trả lời thấy kết nối đến với nó: địa chỉ nguồn, thời gian và mọi siêu dữ liệu truyền tải mà triển khai của nó ghi lại. Nếu yêu cầu trạng thái đi theo VPN, nguồn đó có thể là lối ra VPN chứ không phải mạng truy cập của người dùng. Đừng cho rằng yêu cầu trạng thái đi cùng đường với yêu cầu trang chỉ vì cả hai thuộc cùng một phiên trình duyệt.

Hãy kiểm tra định tuyến và hành vi xác minh mà máy khách hỗ trợ thay vì suy ra từ một dấu vết duy nhất. Một đường hầm chia tách có thể gửi hai yêu cầu theo hai hướng khác nhau.

Phản hồi được ghim là mẫu phổ biến còn lại. Tiện ích mở rộng TLS status_request của RFC 6066 cho phép máy chủ đính kèm phản hồi OCSP vào bắt tay của chính nó, nên máy khách xác thực những gì được cấp thay vì tự lấy trạng thái cho kết nối đó. Sự thay đổi đó thay đổi người quan sát. Phía máy chủ thực hiện việc lấy, và địa chỉ của chính máy khách không bao giờ đến máy trả lời cho kết nối đó.

Trạng thái có thể đến được ghim trong bắt tay

Không điều nào trong số này bảo đảm rằng máy khách sẽ không bao giờ thực hiện một yêu cầu xác minh khác. Việc xây dựng chuỗi, chính sách trạng thái và các cơ chế được hỗ trợ khác nhau tùy theo cách triển khai.

Trình xem chứng chỉ trong một trình duyệt không mô tả mọi hệ điều hành và máy khách VPN. Cùng một bản chụp mạng có thể mang ý nghĩa khác nhau dưới các thiết lập xác minh khác nhau.

Bộ nhớ đệm phá vỡ giả định một trang một lần tra cứu

Bộ nhớ đệm tách việc tải trang khỏi việc tra cứu. Trình duyệt có thể dùng lại phản hồi trong một khoảng thời gian, nên một lần xem trang không đồng nghĩa một yêu cầu mạng.

Sai lầm ngược lại cũng phổ biến như vậy. Phản hồi trong bộ nhớ đệm không nói gì về thời điểm làm mới tiếp theo, và lịch làm mới có thể không liên quan đến trang đang mở. Hãy dùng tài liệu hiện hành của máy khách và chính sách xác minh đang có hiệu lực trước khi quy bản chụp cho OCSP.

Một phản hồi trạng thái hợp lệ phải đáp ứng các quy tắc về tính xác thực và độ tươi mới của bộ xác minh, và HTTP 200 không giống với một trạng thái tốt. Hết thời gian không phải là thu hồi. Những kết quả đó dẫn đến hành vi máy khách khác nhau và không nên gộp thành một lỗi duy nhất.

Những lựa chọn riêng tư giữ nguyên việc xác minh

Khi bản thân việc tra cứu là nhạy cảm, hãy thảo luận các tùy chọn phân phối và bộ nhớ đệm được hỗ trợ với chủ hệ thống. Đừng giải quyết bằng cách tắt kiểm tra thu hồi hoặc xác minh chuỗi.

Một dấu vết yên tĩnh hơn không phải là kết nối an toàn hơn. Hãy giữ nguyên danh tính đối tác, xác minh chuỗi và chính sách thu hồi dự định, và chỉ thay đổi đường phân phối qua một tùy chọn mà triển khai hỗ trợ. Ghi lại tùy chọn nào đã được chọn và ai chịu trách nhiệm.

Khi một lần tra cứu xuất hiện bất ngờ, hãy nêu riêng người nhận, tuyến đường và thao tác chứng chỉ. Tải xuống từ nhà phát hành, truy vấn trạng thái và yêu cầu trang là ba sự kiện. Coi chúng là một khiến việc rà soát quyền riêng tư thiếu chính xác và che giấu bên nào thực sự đã học được điều gì. Hãy bắt đầu từ các trường giao thức và đi ra ngoài đến đường mạng.