goodguys_activate
2012-03-15 05:13:07 UTC
OCSP-stifting reduserer belastningen på en PKI-infrastrukturs OCSP-server ved å feste et signert OCSP-svar til målet i en TLS-forbindelse. I tillegg skaper det en mer sikker / privat økt siden CA ikke vet at nettleseren din har tilgang til et gitt nettsted. Noen mennesker har sammenlignet denne oppførselen med Kerberos.
Spørsmål
-
Hvilke nettlesere støtter OCSP-stifting?
-
Er det noen implementeringshensyn blant forskjellige nettlesere som må adresseres for å opprettholde ensartede fordeler med hensyn til personvern og ytelse?
Som et notat - i en vanlig SSL-økt vet ikke CA at nettleseren har tilgang til nettstedet. Det er ingenting i SSL-protokollen som innebærer at nettleseren snakker med CA uansett. Det er heller ikke nødvendig med OCSP. Jeg vil faktisk ikke kalle det "sikrere" ettersom noen systemer ser på å ha et nytt OCSP-svar laget for deg som bedre sikkerhetsimplementering.
@bethlakshmi SSL har dette tilbakekallingsproblemet. CRL-er blir lenger og lenger. OCSP er en løsning for det, men det har problemet med personvern (og soft fail). Begge kan løses med OCSP-stabling (og må stiftes ut).
@bethlakshmi Jeg er ny på dette, men krever ikke SSL at nettlesere pinger tilbakekallingslistene fra CA?
Nei det gjør det ikke.I SSL / TLS-håndtrykket må serveren oppgi legitimasjon, og typen akseptabel legitimasjon kan spesifiseres av klienten, men legitimasjonen kreves ikke for å være et PKI-sertifikat, og det kreves heller ikke av klienten for å verifisere legitimasjonen via CRL ellerOCSP.De fleste nettlesere implementerer en pålitelig sertifiseringsbutikk, sjekk at sertifikatet ikke er utløpt, og sjekk at sertifikatet inkluderer vertsnavnet til den målrettede URL-forespørselen.De fleste kommersielle nettlesere i dag sjekker ikke status med mindre det er angitt et plugin-program eller annet tillegg.