OCSP-Stapling erklärt (und warum es optional ist)

Das Problem mit einfachem OCSP

Wenn ein Browser ein Zertifikat erhält, kann er den OCSP-Responder der CA abfragen, um zu prüfen, ob das Zertifikat gesperrt wurde. Diese Anfrage ist eine separate Verbindung zu einem Dritten, kostet Latenz und verrät, welche Site der Besucher aufruft — bevor die Seite überhaupt geladen ist.

Ist der Responder langsam oder unerreichbar, geben Browser je nach Client entweder frei (ignorieren die Prüfung) oder blockieren. Beides ist schlecht.

Was Stapling ändert

Mit Stapling holt der Server die signierte OCSP-Antwort selbst, cached sie und hängt sie an den TLS-Handshake. Der Browser bekommt die Sperrauskunft, ohne jemanden zu kontaktieren — kein zusätzlicher Roundtrip, kein Leck.

Es entfernt außerdem die Abhängigkeit davon, dass die CA aus dem Netz des Besuchers erreichbar ist, was in Regionen zählt, in denen OCSP-Responder zeitweise blockiert werden.

Aktivieren und prüfen

Bei nginx braucht Stapling einen resolver und die Ketten-Datei, sonst tut es stillschweigend nichts. Bei Apache muss die Cache-Direktive auf Server-Ebene stehen. Prüfen Sie nach dem Reload von außen — eine vorhandene, aber nicht wirksame Konfigurationszeile sieht identisch aus wie eine fehlende.

# nginx
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;

# verify from outside — look for a stapled response, not just "OCSP response: none"
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A3 "OCSP Response Status"

Warum es für A+ nicht nötig ist

Stapling ist eine Verbesserung für Privatsphäre und Latenz, nicht der Protokollstärke. Ein Server ohne Stapling ist nicht in der Weise unsicherer wie einer, der TLS 1.0 anbietet. CertH wertet es als positives Signal im Bereich Konfigurationsgesundheit, verlangt es aber nicht für die Bestnote.

Trotzdem ist es einer der billigsten Gewinne: zwei Zeilen Konfiguration, keine Auswirkung auf Clients und ein messbarer Privatsphäre-Gewinn für jeden Besucher.

FAQ