OCSP Stapling Dijelaskan (dan Mengapa Opsional)

Masalah OCSP biasa

Saat menerima sertifikat, browser dapat menanyakan responder OCSP milik CA untuk memeriksa apakah sertifikat dicabut. Permintaan itu adalah koneksi terpisah ke pihak ketiga, menambah latensi, dan mengungkap situs mana yang dikunjungi — bahkan sebelum halaman dimuat.

Jika responder lambat atau tidak terjangkau, browser entah membiarkan (mengabaikan pemeriksaan) atau memblokir situs, tergantung klien. Keduanya tidak baik.

Apa yang diubah stapling

Dengan stapling, server sendiri mengambil respons OCSP bertanda tangan, menyimpannya di cache, dan melampirkannya ke handshake TLS. Browser mendapat jawaban pencabutan tanpa menghubungi siapa pun: tanpa round trip tambahan dan tanpa kebocoran.

Ini juga menghapus ketergantungan pada keterjangkauan CA dari jaringan pengunjung, yang penting di wilayah tempat responder OCSP kadang diblokir.

Mengaktifkan dan memverifikasi

Di nginx, stapling memerlukan resolver dan file rantai; jika salah satu hilang ia diam-diam tidak melakukan apa pun. Di Apache, direktif cache harus di tingkat server. Setelah reload, verifikasi dari luar — baris konfigurasi yang ada tetapi tidak bekerja tampak identik dengan yang tidak ada.

# nginx
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;

# verify from outside — look for a stapled response, not just "OCSP response: none"
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A3 "OCSP Response Status"

Mengapa tidak wajib untuk A+

Stapling adalah peningkatan privasi dan latensi, bukan kekuatan protokol. Server yang tidak melakukan stapling tidak kurang aman dengan cara server yang menawarkan TLS 1.0. CertH memperlakukannya sebagai sinyal positif di bagian kesehatan konfigurasi, tetapi tidak mewajibkannya untuk nilai tertinggi.

Meski begitu, ini salah satu peningkatan termurah: dua baris konfigurasi, tanpa dampak ke klien, dan manfaat privasi yang terukur untuk setiap pengunjung.

FAQ