OCSP

Che cos'è OCSP?

L'OCSP è un protocollo di rete utilizzato per verificare la validità dei certificati digitali. È stato creato come alternativa alle CRL e risolve il problema di scaricare frequentemente aggiornamenti per mantenere l'elenco aggiornato.

Quando un utente accede a un server, OCSP invia una richiesta relativa allo stato del certificato. Il server restituisce lo stato del certificato, indicando se è 'valido', 'scaduto' o 'sconosciuto'. Questo protocollo definisce come il server dei certificati e il client comunicano tra loro.

OCSP verifica lo stato dei certificati di sicurezza in tempo reale, il che è particolarmente importante per la validazione estesa dei certificati Secure Socket Layer (SSL) e Transport Layer Security (TLS). Nel caso della creazione di una connessione HTTPS, i browser eseguono un controllo OCSP con un'autorità di certificazione (CA) per verificare che il certificato sia ancora attivo e non sia stato revocato. Questo controllo, tuttavia, potrebbe ritardare l'handshake SSL, ma consente agli utenti di accedere al server fino al rinnovo dei certificati perché permette l'accesso al server con certificati scaduti.

Come funziona OCSP?

Quando è necessario verificare la validità di un certificato, viene inviata una richiesta OCSP a un risponditore OCSP gestito dalla CA. Questo risponditore convalida la richiesta e restituisce lo stato che indica se il certificato è valido, revocato o sconosciuto. OCSP è supportato dalla maggior parte dei browser più diffusi, come Apple Safari, Internet Explorer, Microsoft Edge e Mozilla Firefox.

OCSP vs. CRL

Per confermare se un certificato di un sito web è stato revocato, i browser in genere utilizzano sia OCSP sia CRL. La CRL funziona come un elenco di numeri di serie dei  certificati revocati dalla CA, ma può essere obsoleta e deve essere scaricata periodicamente per restare aggiornata.

A differenza della CRL, OCSP verifica lo stato di revoca del certificato in tempo reale, migliorando la sicurezza e la firma poiché garantisce che il certificato sia valido. Fornendo aggiornamenti di stato istantanei, questo processo è molto più efficiente rispetto al download dell'intero elenco.

Sfide di OCSP

Sebbene OCSP sia molto efficace, deve affrontare alcune sfide come l'aumento dei costi per le CA e problemi di privacy. Il controllo OCSP in tempo reale può compromettere i dati privati di navigazione di un utente perché le richieste vengono inviate tramite HTTP non crittografato e sono associate a certificati specifici. Ciò significa che nessuno che intercetti il traffico tra il browser e il responder OCSP verrebbe a sapere quali siti l'utente ha visitato. Inoltre, se devi passare attraverso una terza parte per la tua identità, l'esperienza di navigazione può essere un po' più lenta.

La tecnologia di associazione OCSP era proprio ciò che serviva per affrontare questi problemi. Questa tecnologia consente di includere la risposta OCSP esistente in una connessione HTTPS e offre privacy (riducendo il numero di volte in cui il browser deve inviare una richiesta separata) e risparmio di tempo (riducendo la trasmissione di dati tra server e browser).

Vantaggi di OCSP rispetto alle CRL

OCSP presenta diversi vantaggi distinti rispetto alle CRL nel processo di convalida dei certificati:

Controllo in tempo reale: OCSP è in grado di verificare istantaneamente lo stato del certificato, bloccando così rapidamente i certificati revocati, mentre le CRL richiedono aggiornamenti periodici, il che può comportare una propagazione ritardata delle informazioni di revoca.

Architettura flessibile: OCSP può scalare in modo indipendente per far fronte a elevati volumi di traffico e le Autorità di certificazione (CA) possono anche delegare l'elaborazione delle richieste a responder di terze parti, aumentando così l'efficienza.

Operazione leggera: le richieste OCSP sono molto piccole, rispetto alle CRL che richiedono il download di lunghi elenchi di certificati revocati con requisiti di larghezza di banda più elevati, riducendo così il carico di rete.

Diagnostica dettagliata: i responder OCSP possono fornire informazioni specifiche sullo stato di un certificato e sul motivo della revoca, non solo un semplice "valido" o "revocato".

Nessun ciclo di rinnovo fisso: OCSP consente richieste continue senza dover attendere rinnovi fissi, rendendo più rapida la risposta ai cambiamenti nello stato del certificato.

Questi vantaggi rendono OCSP la soluzione preferita negli ambienti in cui è richiesta una convalida dei certificati aggiornata ed efficiente.