OCSP Stapling Açıklaması (ve Neden İsteğe Bağlı)

Düz OCSP’nin sorunu

Tarayıcı bir sertifika aldığında, sertifikanın iptal edilip edilmediğini öğrenmek için CA’nın OCSP yanıtlayıcısına sorabilir. Bu istek üçüncü tarafa ayrı bir bağlantıdır, gecikme ekler ve sayfa yüklenmeden önce ziyaretçinin hangi siteye bağlandığını açığa çıkarır.

Yanıtlayıcı yavaş veya erişilemezse tarayıcılar istemciye göre ya geçirir (kontrolü yoksayar) ya da siteyi engeller. İkisi de iyi değil.

stapling neyi değiştirir

stapling ile sunucu imzalı OCSP yanıtını kendisi alır, önbelleğe alır ve TLS el sıkışmasına ekler. Tarayıcı iptal yanıtını kimseyle iletişime geçmeden alır: ekstra gidiş dönüş yok, sızıntı yok.

Ayrıca CA’nın ziyaretçinin ağından erişilebilir olması bağımlılığını kaldırır; OCSP yanıtlayıcılarının aralıklı engellendiği bölgelerde bu önemlidir.

Açmak ve doğrulamak

nginx’de stapling için resolver ve zincir dosyası gerekir; biri eksikse sessizce hiçbir şey yapmaz. Apache’de önbellek yönergesi sunucu düzeyinde olmalıdır. Yeniden yüklemeden sonra dışarıdan doğrulayın — var olan ama çalışmayan bir yapılandırma satırı, olmayan bir satırla aynı görünür.

# nginx
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;

# verify from outside — look for a stapled response, not just "OCSP response: none"
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A3 "OCSP Response Status"

A+ için neden zorunlu değil

stapling gizlilik ve gecikme iyileştirmesidir, protokol gücü değil. stapling yapmayan bir sunucu, TLS 1.0 sunan bir sunucunun olduğu biçimde daha az güvenli değildir. CertH bunu yapılandırma sağlığı bölümünde olumlu sinyal sayar ama en yüksek not için zorunlu tutmaz.

Yine de en ucuz kazançlardan biridir: iki satır yapılandırma, istemciye sıfır etki ve her ziyaretçi için ölçülebilir gizlilik kazancı.

FAQ