OCSP

Apakah OCSP?

OCSP ialah protokol rangkaian yang digunakan untuk mengesahkan kesahihan sijil digital. Ia dicipta sebagai alternatif kepada CRL dan menyelesaikan masalah memuat turun kemas kini dengan kerap untuk memastikan senarai sentiasa terkini.

Apabila pengguna mengakses pelayan, OCSP menghantar permintaan untuk mendapatkan status sijil. Pelayan mengembalikan status sijil tersebut, dengan menyatakan sama ada ia 'sah', 'telah tamat tempoh' atau 'tidak diketahui'. Protokol ini mentakrifkan cara pelayan sijil dan klien berkomunikasi antara satu sama lain.

OCSP menyemak status sijil keselamatan dalam masa nyata, yang amat penting khususnya untuk pengesahan lanjutan sijil Secure Socket Layer (SSL) dan Transport Layer Security (TLS). Apabila mewujudkan sambungan HTTPS, pelayar menjalankan semakan OCSP dengan pihak berkuasa sijil (CA) untuk mengesahkan bahawa sijil tersebut masih aktif dan belum dibatalkan. Walau bagaimanapun, semakan ini mungkin melambatkan jabat tangan SSL, tetapi ia memberikan pengguna akses kepada pelayan sehingga sijil diperbaharui kerana ia membenarkan akses kepada pelayan dengan sijil yang telah tamat tempoh.

Bagaimanakah OCSP Berfungsi?

Apabila kesahihan sijil perlu disahkan, permintaan OCSP dihantar kepada responsor OCSP yang diuruskan oleh CA. Responsor ini mengesahkan permintaan tersebut dan mengembalikan status sama ada sijil itu sah, dibatalkan atau tidak diketahui. OCSP disokong oleh kebanyakan pelayar popular seperti Apple Safari, Internet Explorer, Microsoft Edge dan Mozilla Firefox.

OCSP berbanding CRL

Untuk mengesahkan sama ada sijil laman web telah dibatalkan, pelayar biasanya menggunakan kedua-dua OCSP dan CRL. CRL berfungsi sebagai senarai nombor siri sijil  yang dibatalkan oleh CA, tetapi senarai ini mungkin sudah lapuk dan perlu dimuat turun secara berkala untuk kekal terkini.

Walaupun berbeza daripada CRL, OCSP mengesahkan status pembatalan sijil dalam masa nyata, meningkatkan keselamatan dan proses penandatanganan kerana ia memastikan sijil tersebut sah. Dengan menyediakan kemas kini status serta-merta, proses ini jauh lebih cekap berbanding memuat turun keseluruhan senarai.

Cabaran OCSP

Walaupun OCSP sangat berkesan, ia menghadapi beberapa cabaran seperti peningkatan kos bagi CA dan isu privasi. Pemeriksaan OCSP masa nyata boleh menjejaskan data pelayaran peribadi pengguna kerana permintaan dihantar melalui HTTP yang tidak disulitkan dan dikaitkan dengan sijil tertentu. Ini bermakna sesiapa yang memintas trafik antara pelayar dan responsor OCSP akan mengetahui laman yang telah dilawati oleh pengguna. Selain itu, jika anda perlu melalui pihak ketiga untuk pengesahan identiti, pengalaman pelayaran mungkin menjadi sedikit lebih perlahan.

Teknologi pengikatan OCSP ternyata merupakan penyelesaian yang tepat untuk menangani masalah ini. Teknologi ini membolehkan respons OCSP sedia ada dimasukkan dalam sambungan HTTPS serta menyediakan privasi (mengurangkan bilangan kali pelayar perlu menghantar permintaan berasingan) dan menjimatkan masa (mengurangkan penghantaran data antara pelayan dan pelayar).

Kelebihan OCSP berbanding CRL

OCSP mempunyai beberapa kelebihan berbeza berbanding CRL dalam proses pengesahan sijil:

Pemeriksaan masa nyata: OCSP dapat mengesahkan status sijil dengan serta-merta, sekali gus menyekat sijil yang telah dibatalkan dengan cepat, manakala CRL memerlukan kemas kini berkala, yang boleh menyebabkan penyebaran maklumat pembatalan tertangguh.

Seni bina fleksibel: OCSP boleh diskalakan secara berasingan untuk menangani jumlah trafik yang tinggi, dan Pihak Berkuasa Sijil (CA) juga boleh mewakilkan pemprosesan permintaan kepada responsor pihak ketiga, sekali gus meningkatkan kecekapan.

Operasi ringan: Permintaan OCSP sangat kecil berbanding CRL yang memerlukan muat turun senarai besar sijil yang dibatalkan dengan keperluan lebar jalur yang lebih tinggi, sekali gus mengurangkan beban rangkaian.

Diagnostik Terperinci: Responder OCSP boleh memberikan maklumat khusus tentang status sijil dan sebab pembatalannya, bukan sekadar 'baik' atau 'dibatalkan'.

Tiada Kitaran Pembaharuan Tetap: OCSP membolehkan permintaan berterusan tanpa perlu menunggu pembaharuan tetap, menjadikannya lebih pantas untuk bertindak balas terhadap perubahan dalam status sijil.

Kelebihan ini menjadikan OCSP penyelesaian pilihan dalam persekitaran yang memerlukan pengesahan sijil yang terkini dan cekap.