OCSP

¿Qué es OCSP?

El OCSP es un protocolo de red utilizado para verificar la validez de los certificados digitales. Se creó como alternativa a las CRL y resuelve el problema de descargar actualizaciones con frecuencia para mantener la lista actualizada.

Cuando un usuario accede a un servidor, OCSP envía una solicitud sobre el estado del certificado. El servidor devuelve el estado del certificado, indicando si es 'válido', 'caducado' o 'desconocido'. Este protocolo define cómo se comunican entre sí el servidor de certificados y el cliente.

OCSP verifica el estado de los certificados de seguridad en tiempo real, lo cual es especialmente importante para la validación extendida de los certificados Secure Socket Layer (SSL) y Transport Layer Security (TLS). En el caso de establecer una conexión HTTPS, los navegadores realizan una verificación OCSP con una autoridad de certificación (CA) para comprobar que el certificado sigue activo y no ha sido revocado. Sin embargo, esta verificación podría retrasar el protocolo de enlace SSL, pero da a los usuarios acceso al servidor hasta que se renueven los certificados, porque permite acceder al servidor con certificados caducados.

¿Cómo funciona OCSP?

Cuando se necesita verificar la validez de un certificado, se envía una solicitud OCSP a un respondedor OCSP gestionado por la CA. Este respondedor valida la solicitud y devuelve el estado de si el certificado es válido, revocado o desconocido. OCSP es compatible con la mayoría de los navegadores populares, como Apple Safari, Internet Explorer, Microsoft Edge y Mozilla Firefox.

OCSP frente a CRL

Para confirmar si el certificado de un sitio web ha sido revocado, los navegadores suelen utilizar tanto OCSP como CRL. La CRL funciona como una lista de números de serie de  certificados revocados por la CA, pero puede estar desactualizada y debe descargarse periódicamente para mantenerse actualizada.

A diferencia de la CRL, OCSP verifica el estado de revocación del certificado en tiempo real, lo que mejora la seguridad y la firma, ya que garantiza que el certificado sea válido. Al proporcionar actualizaciones de estado instantáneas, este proceso es mucho más eficiente que descargar la lista completa.

Desafíos de OCSP

Aunque OCSP es muy eficaz, enfrenta algunos desafíos, como el aumento de costos para las CA y problemas de privacidad. La comprobación OCSP en tiempo real puede comprometer los datos privados de navegación de un usuario porque las solicitudes se envían a través de HTTP sin cifrar y están asociadas con certificados específicos. Significa que nadie que intercepte el tráfico entre el navegador y el respondedor OCSP podría saber qué sitios ha visitado el usuario. Además, si tiene que pasar por un tercero para verificar su identidad, puede resultar en una experiencia de navegación un poco más lenta.

La tecnología de vinculación OCSP era justo lo necesario para solucionar estos problemas. Esta tecnología permite que la respuesta OCSP existente esté contenida en una conexión HTTPS y proporciona privacidad (reduciendo el número de veces que el navegador necesita enviar una solicitud separada) y ahorro de tiempo (reduciendo la transmisión de datos entre el servidor y el navegador).

Ventajas de OCSP sobre las CRL

OCSP tiene varias ventajas distintivas sobre las CRL en el proceso de validación de certificados:

Comprobación en tiempo real: OCSP puede verificar al instante el estado del certificado, bloqueando así rápidamente los certificados revocados, mientras que las CRL requieren actualizaciones periódicas, lo que puede provocar una propagación retrasada de la información de revocación.

Arquitectura flexible: OCSP puede escalar de forma independiente para hacer frente a altos volúmenes de tráfico, y las autoridades de certificación (CA) también pueden delegar el procesamiento de solicitudes a respondedores externos, aumentando así la eficiencia.

Funcionamiento ligero: las solicitudes OCSP son muy pequeñas, en comparación con las CRL, que requieren descargar grandes listas de certificados revocados con mayores requisitos de ancho de banda, lo que reduce la carga de la red.

Diagnósticos detallados: Los respondedores OCSP pueden proporcionar información específica sobre el estado de un certificado y el motivo de revocación, no solo un simple 'bueno' o 'revocado'.

Sin ciclo de renovación fijo: OCSP permite solicitudes continuas sin tener que esperar renovaciones fijas, lo que agiliza la respuesta ante cambios en el estado del certificado.

Estas ventajas hacen de OCSP la solución preferida en entornos donde se requiere una validación de certificados actualizada y eficiente.