OCSP

Was ist OCSP?

Das OCSP ist ein Netzwerkprotokoll, das zur Überprüfung der Gültigkeit digitaler Zertifikate verwendet wird. Es wurde als Alternative zu CRLs geschaffen und löst das Problem, häufig Aktualisierungen herunterladen zu müssen, um die Liste aktuell zu halten.

Wenn ein Benutzer auf einen Server zugreift, sendet OCSP eine Anfrage zum Status des Zertifikats. Der Server gibt den Status des Zertifikats zurück und teilt mit, ob es 'gültig', 'abgelaufen' oder 'unbekannt' ist. Dieses Protokoll definiert, wie der Zertifikatserver und der Client miteinander kommunizieren.

OCSP überprüft den Status von Sicherheitszertifikaten in Echtzeit, was besonders wichtig für die erweiterte Validierung von Secure Socket Layer (SSL)- und Transport Layer Security (TLS)-Zertifikaten ist. Beim Aufbau einer HTTPS-Verbindung führen Browser eine OCSP-Prüfung bei einer Zertifizierungsstelle (CA) durch, um zu verifizieren, dass das Zertifikat noch aktiv ist und nicht widerrufen wurde. Diese Prüfung kann jedoch den SSL-Handshake verzögern, gewährt den Benutzern aber Zugriff auf den Server, bis die Zertifikate erneuert werden, da sie den Zugriff auf den Server mit abgelaufenen Zertifikaten ermöglicht.

Wie funktioniert OCSP?

Wenn die Gültigkeit eines Zertifikats überprüft werden muss, wird eine OCSP-Anfrage an einen von der CA verwalteten OCSP-Responder gesendet. Dieser Responder validiert die Anfrage und gibt den Status zurück, ob das Zertifikat gültig, widerrufen oder unbekannt ist. OCSP wird von den meisten gängigen Browsern wie Apple Safari, Internet Explorer, Microsoft Edge und Mozilla Firefox unterstützt.

OCSP vs. CRL

Um zu bestätigen, ob ein Website-Zertifikat widerrufen wurde, verwenden Browser in der Regel sowohl OCSP als auch CRL. Die CRL funktioniert als Liste von Seriennummern von  Zertifikaten, die von der CA widerrufen wurden, kann jedoch veraltet sein und muss regelmäßig heruntergeladen werden, um aktuell zu bleiben.

Im Gegensatz zu CRL überprüft OCSP den Widerrufsstatus des Zertifikats in Echtzeit, was die Sicherheit und Signierung verbessert, da sichergestellt wird, dass das Zertifikat gültig ist. Durch die Bereitstellung sofortiger Statusaktualisierungen ist dieser Prozess wesentlich effizienter als das Herunterladen der gesamten Liste.

Herausforderungen von OCSP

Obwohl OCSP sehr effektiv ist, steht es vor einigen Herausforderungen wie erhöhten Kosten für CAs und Datenschutzproblemen. OCSP-Prüfungen in Echtzeit können die privaten Browserdaten eines Benutzers gefährden, da Anfragen über unverschlüsseltes HTTP gesendet werden und bestimmten Zertifikaten zugeordnet sind. Das bedeutet, dass niemand, der den Datenverkehr zwischen dem Browser und dem OCSP-Responder abfängt, erfahren würde, welche Websites der Benutzer besucht hat. Darüber hinaus kann es zu einem etwas langsameren Surferlebnis führen, wenn Sie für Ihre Identität über einen Dritten gehen müssen.

Die OCSP-Binding-Technologie war genau das Richtige, um diese Probleme zu lösen. Diese Technologie ermöglicht es, die bestehende OCSP-Antwort in einer HTTPS-Verbindung zu enthalten, und bietet Datenschutz (durch Verringerung der Anzahl der Male, die der Browser eine separate Anfrage senden muss) sowie Zeitersparnis (durch Verringerung der Datenübertragung zwischen Server und Browser).

Vorteile von OCSP gegenüber CRLs

OCSP hat im Zertifikatsvalidierungsprozess mehrere deutliche Vorteile gegenüber CRLs:

Echtzeitprüfung: OCSP kann den Zertifikatsstatus sofort überprüfen und dadurch widerrufene Zertifikate schnell blockieren, während CRLs regelmäßige Aktualisierungen erfordern, was zu einer verzögerten Verbreitung von Widerrufsinformationen führen kann.

Flexible Architektur: OCSP kann unabhängig skaliert werden, um hohe Datenverkehrsvolumina zu bewältigen, und Zertifizierungsstellen (CAs) können die Anforderungsverarbeitung auch an Drittanbieter-Responder delegieren und dadurch die Effizienz steigern.

Leichtgewichtiger Betrieb: OCSP-Anfragen sind sehr klein im Vergleich zu CRLs, die das Herunterladen großer Listen widerrufener Zertifikate mit höheren Bandbreitenanforderungen erfordern, wodurch die Netzwerklast reduziert wird.

Detaillierte Diagnosen: OCSP-Responder können spezifische Informationen über den Status eines Zertifikats und den Grund für den Widerruf bereitstellen, nicht nur ein einfaches „gültig“ oder „widerrufen“.

Kein fester Erneuerungszyklus: OCSP ermöglicht kontinuierliche Anfragen, ohne auf feste Erneuerungen warten zu müssen, wodurch schneller auf Änderungen des Zertifikatstatus reagiert werden kann.

Diese Vorteile machen OCSP zur bevorzugten Lösung in Umgebungen, in denen eine aktuelle und effiziente Zertifikatsvalidierung erforderlich ist.