OCSP stapling giải thích (và vì sao nó tùy chọn)

Vấn đề của OCSP thường

Khi nhận chứng chỉ, trình duyệt có thể hỏi responder OCSP của CA xem chứng chỉ đã bị thu hồi chưa. Request đó là một kết nối riêng tới bên thứ ba, thêm độ trễ và tiết lộ người truy cập đang vào site nào — trước cả khi trang tải xong.

Nếu responder chậm hoặc không tới được, trình duyệt hoặc bỏ qua kiểm tra, hoặc chặn site, tùy client. Cả hai đều không tốt.

Stapling thay đổi điều gì

Với stapling, máy chủ tự lấy phản hồi OCSP đã ký, cache lại và đính vào bắt tay TLS. Trình duyệt nhận câu trả lời thu hồi mà không liên hệ ai: không thêm vòng, không rò rỉ.

Nó cũng loại bỏ phụ thuộc vào việc CA có tới được từ mạng của người truy cập, điều quan trọng ở những khu vực mà responder OCSP bị chặn gián đoạn.

Bật và kiểm chứng

Trên nginx, stapling cần resolver và tệp chuỗi; thiếu một trong hai thì nó âm thầm không làm gì. Trên Apache, chỉ thị cache phải ở cấp server. Sau khi reload, hãy kiểm tra từ bên ngoài — một dòng cấu hình có mà không hoạt động trông giống hệt dòng không có.

# nginx
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;

# verify from outside — look for a stapled response, not just "OCSP response: none"
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A3 "OCSP Response Status"

Vì sao A+ không bắt buộc nó

Stapling là cải thiện về quyền riêng tư và độ trễ, không phải về độ mạnh giao thức. Máy chủ không stapling không kém an toàn theo kiểu một máy chủ cung cấp TLS 1.0. CertH coi nó là tín hiệu tích cực trong phần sức khỏe cấu hình, nhưng không bắt buộc cho điểm cao nhất.

Dù vậy, đây là một trong những cải thiện rẻ nhất: hai dòng cấu hình, không ảnh hưởng client, và lợi ích riêng tư đo được cho mọi người truy cập.

FAQ