OCSP

O que é OCSP?

O OCSP é um protocolo de rede usado para verificar a validade de certificados digitais. Ele foi criado como uma alternativa às CRLs e resolve o problema de baixar atualizações frequentemente para manter a lista atualizada.

Quando um usuário acessa um servidor, o OCSP envia uma solicitação do status do certificado. O servidor retorna o status do certificado, informando se ele está 'válido', 'expirado' ou 'desconhecido'. Este protocolo define como o servidor de certificados e o cliente se comunicam entre si.

O OCSP verifica o status dos certificados de segurança em tempo real, o que é especialmente importante para a validação estendida de certificados Secure Socket Layer (SSL) e Transport Layer Security (TLS). No caso de estabelecimento de uma conexão HTTPS, os navegadores realizam uma verificação OCSP com uma autoridade certificadora (CA) para confirmar que o certificado ainda está ativo e não foi revogado. Essa verificação, no entanto, pode atrasar o handshake SSL, mas concede aos usuários acesso ao servidor até que os certificados sejam renovados, pois permite o acesso ao servidor com certificados expirados.

Como o OCSP funciona?

Quando a validade de um certificado precisa ser verificada, uma solicitação OCSP é enviada a um respondedor OCSP gerenciado pela CA. Esse respondedor valida a solicitação e retorna o status indicando se o certificado é válido, revogado ou desconhecido. OCSP é compatível com a maioria dos navegadores populares, como Apple Safari, Internet Explorer, Microsoft Edge e Mozilla Firefox.

OCSP vs. CRL

Para confirmar se um certificado de site foi revogado, os navegadores normalmente usam tanto OCSP quanto CRL. A CRL funciona como uma lista de números de série de  certificados que são revogados pela CA, mas ela pode estar desatualizada e precisa ser baixada periodicamente para se manter atualizada.

Embora, ao contrário da CRL, o OCSP verifique o status de revogação do certificado em tempo real, melhorando a segurança e a assinatura, pois garante que o certificado seja válido. Ao fornecer atualizações de status instantâneas, esse processo é muito mais eficiente do que baixar a lista inteira.

Desafios do OCSP

Embora o OCSP seja muito eficaz, ele enfrenta alguns desafios, como o aumento dos custos para as CAs e questões de privacidade. A verificação OCSP em tempo real pode comprometer os dados privados de navegação de um usuário porque as solicitações são enviadas por HTTP não criptografado e são associadas a certificados específicos. Isso significa que ninguém que intercepte o tráfego entre o navegador e o respondedor OCSP saberia quais sites o usuário visitou. Além disso, se você precisar passar por um terceiro para sua identidade, isso pode tornar a experiência de navegação um pouco mais lenta.

A tecnologia de grampeamento OCSP era exatamente o que faltava para lidar com esses problemas. Essa tecnologia permite que a resposta OCSP existente seja contida em uma conexão HTTPS e oferece privacidade (reduzindo o número de vezes que o navegador precisa enviar uma solicitação separada) e economia de tempo (reduzindo a transmissão de dados entre o servidor e o navegador).

Vantagens do OCSP sobre CRLs

O OCSP tem várias vantagens distintas em relação às CRLs no processo de validação de certificados:

Verificação em tempo real: o OCSP é capaz de verificar instantaneamente o status do certificado, bloqueando rapidamente certificados revogados, enquanto as CRLs exigem atualizações periódicas, o que pode resultar em propagação atrasada das informações de revogação.

Arquitetura flexível: o OCSP pode escalar de forma independente para lidar com altos volumes de tráfego, e as Autoridades Certificadoras (CAs) também podem delegar o processamento de solicitações a respondedores terceirizados, aumentando assim a eficiência.

Operação leve: as solicitações OCSP são muito pequenas, em comparação com CRLs que exigem o download de grandes listas de certificados revogados com requisitos de largura de banda mais altos, reduzindo assim a carga da rede.

Diagnósticos detalhados: os respondedores OCSP podem fornecer informações específicas sobre o status de um certificado e o motivo da revogação, não apenas um simples 'bom' ou 'revogado'.

Sem ciclo de renovação fixo: OCSP permite solicitações contínuas sem a necessidade de esperar por renovações fixas, tornando mais rápida a resposta a alterações no status do certificado.

Essas vantagens tornam o OCSP a solução preferida em ambientes onde é necessária uma validação de certificados atualizada e eficiente.