Quelle est la différence exacte entre STAPLING OCSP ordinaire et OCSP?
Quelle est la différence exacte entre le protocole d'état du certificat en ligne ( [~ # ~ # ~] OCSP [~ # ~ ~] ) et STAPLING OCSP , Ce qui semble être "... une approche alternative du protocole d'état du certificat en ligne (OCSP)" ?
L'agrafage OCSP est plus efficace que le POSP ordinaire et offre une meilleure intimité.
Le protocole OCSP est utilisé pour déterminer si un certificat est toujours valide ou a été révoqué. Dites, vous voulez vous connecter de manière sécurisée à un site Web via TLS. Pour être certain que le certificat n'a pas été révoqué ou expiré, votre navigateur peut émettre une demande OCSP à l'autorité de certification correspondante. Après avoir reçu une confirmation signée de la validité du certificat, vous continuez ensuite avec la poignée de main TLS.
Ce processus présente des inconvénients: contacter la CA coûte l'heure et ralentit votre expérience de navigation. Il peut également créer un volume de trafic élevé pour l'autorité de trafic, décrit à l'AC quel site Web que vous visitez et que vous devez toujours compter sur la disponibilité du répondeur OCSP, sinon aucune confirmation n'est possible - et vous devriez décider entre accepter le certificat malgré un manque de confirmation ou abandonner la connexion. Pour ces raisons, google Chrome a supprimé la prise en charge pour OCSP ordinaire.
L'agrafage OCSP évite ces problèmes en ayant le serveur émettre périodiquement les requêtes OCSP. Au lieu de rendre l'utilisateur effectuer la vérification de la validité, le serveur Web vous présenterait la réponse OCSP pendant la poignée de main TLS. Ce n'est pas un problème de sécurité que le serveur effectue la requête OCSP, car la réponse a été signée par l'autorité de certification et comprend un horodatage, empêchant ainsi une altération. Étant donné que le serveur met en cache la réponse, les CAS ne sont plus inondés de demandes OCSP et en tant qu'utilisateur que vous n'avez pas besoin de contacter un tiers pour avoir un certificat vérifié qui profite à votre vie privée.
Quelque chose à ajouter à @arminius 'répondre:
- la demande OCSP initiée par le client et l'agrafage OCSP partageent toujours un problème - intervenants OCSP non réactifs. Que ce soit le client, ou le serveur certifié, qui obtient la réponse OCSP, le répondeur est le même. Si le répondant est en panne, toutes les garanties de sécurité se distinguent.
L'absence d'une réponse OCSP valide est traitée de deux manières:
Fail dur - Un navigateur peut afficher un avertissement sur la page indiquant que la connexion peut être compromise et obliger l'utilisateur à cliquer sur les avertissements pour pouvoir naviguer sur le serveur en question.
Soft Fail - Navigateur tente d'obtenir une réponse OCSP valide (à partir du répondeur ou du certificat envoyé par le serveur dans le cas de l'agrafe OCSP) mais dans le cas de la défaillance de la connexion et ignore l'absence d'une réponse OCSP valide.
Afin de maintenir la disponibilité, les navigateurs préfèrent généralement la 2e approche.
Il est difficile de dire qu'une manière est plus sûre que l'autre. L'agrafe OCSP réduit la charge sur le répondeur réduisant les chances d'être DOS-D par de véritables demandes. Les réponses en cache sur le serveur latéral accélère les choses un peu et réduisent la charge sur les navigateurs pour effectuer le levage intensif OCSP. Cela dit qu'un attaquant peut potentiellement toujours un répondeur de DDOC et empêcher même les serveurs authentiques d'obtenir une agrafe OCSP valide.
L'agrafage OCSP a cependant abouti à de nombreuses interprétations accrues comme expliquée par Ceci courte mais brillante post de Nick Sullivan de Cloudflare dans son blog. Si nous pouvons contourner le problème des intervenants d'OCSP qui non répondants et que vous pouvez trouver un moyen d'être assuré qu'une réponse OCSP sera toujours présentée, les certificats peuvent être générés avec OCSP-DOIT -stamer extension. Ceci, si en place, signifierait des garanties de sécurité plus fortes que celles qu'aucun agrafe OCSP.