OCSP stapling समझें (और यह वैकल्पिक क्यों है)
अपडेट 2026-11-03 · 5 मिनट पढ़ें
निरसन जाँच सर्टिफ़िकेट चेन की सबसे कमज़ोर कड़ी है: ब्राउज़र को किसी तीसरे पक्ष से पूछना होता है कि सर्टिफ़िकेट अभी वैध है या नहीं, और वह प्रश्न आगंतुक को CA के सामने उजागर कर देता है। stapling उत्तर को हैंडशेक के अंदर ले जाता है।
सादे OCSP की समस्या
सर्टिफ़िकेट मिलने पर ब्राउज़र CA के OCSP रिस्पॉन्डर से पूछ सकता है कि सर्टिफ़िकेट निरस्त हुआ या नहीं। वह अनुरोध तीसरे पक्ष से अलग कनेक्शन है, विलंब बढ़ाता है, और पेज लोड होने से पहले ही बता देता है कि आगंतुक कौन सी साइट पर जा रहा है।
यदि रिस्पॉन्डर धीमा या अप्राप्य है, तो ब्राउज़र या तो जाँच अनदेखा करते हैं या साइट रोक देते हैं, क्लाइंट के अनुसार। दोनों ही अच्छे नहीं।
stapling क्या बदलता है
stapling के साथ सर्वर स्वयं हस्ताक्षरित OCSP प्रतिक्रिया लाता है, कैश करता है, और उसे TLS हैंडशेक में संलग्न करता है। ब्राउज़र को किसी से संपर्क किए बिना निरसन उत्तर मिल जाता है: न अतिरिक्त राउंड ट्रिप, न लीक।
यह इस निर्भरता को भी हटाता है कि CA आगंतुक के नेटवर्क से पहुँच योग्य हो, जो उन क्षेत्रों में मायने रखता है जहाँ OCSP रिस्पॉन्डर रुक-रुक कर अवरुद्ध होते हैं।
चालू करना और सत्यापित करना
nginx पर stapling के लिए resolver और चेन फ़ाइल चाहिए; इनमें से एक भी न हो तो यह चुपचाप कुछ नहीं करता। Apache पर कैश निर्देश सर्वर स्तर पर होना चाहिए। रीलोड के बाद बाहर से जाँचें — मौजूद पर निष्क्रिय कॉन्फ़िग पंक्ति अनुपस्थित पंक्ति जैसी ही दिखती है।
# nginx
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;
# verify from outside — look for a stapled response, not just "OCSP response: none"
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A3 "OCSP Response Status"A+ के लिए यह अनिवार्य क्यों नहीं
stapling निजता और विलंब का सुधार है, प्रोटोकॉल की मज़बूती का नहीं। stapling न करने वाला सर्वर उस तरह कम सुरक्षित नहीं जैसे TLS 1.0 देने वाला होता है। CertH इसे कॉन्फ़िगरेशन स्वास्थ्य अनुभाग में सकारात्मक संकेत मानता है, पर सर्वोच्च ग्रेड के लिए अनिवार्य नहीं करता।
फिर भी यह सबसे सस्ते लाभों में से है: दो पंक्ति कॉन्फ़िगरेशन, क्लाइंट पर शून्य असर, और हर आगंतुक के लिए मापने योग्य निजता लाभ।
FAQ
यदि CA का रिस्पॉन्डर बंद हो जाए तो stapling टूटता है?
सर्वर अंतिम कैश की गई प्रतिक्रिया समाप्त होने तक देता रहता है। nginx में विफल रीफ़्रेश कैश प्रति पर लौटता है, इसीलिए विश्वसनीय व्यवहार के लिए resolver और वैध चेन फ़ाइल दोनों चाहिए।
क्या must-staple चालू करना चाहिए?
केवल तब जब stapling पूरी तरह स्थिर हो। must-staple एक्सटेंशन क्लाइंट को stapled प्रतिक्रिया न होने पर कनेक्शन अस्वीकार करवाता है, इसलिए कैश या resolver की एक विफलता आउटेज बन जाती है।