OCSP

Что такое OCSP?

OCSP — это сетевой протокол, используемый для проверки действительности цифровых сертификатов. Он был создан как альтернатива CRL и решает проблему частой загрузки обновлений для поддержания актуальности списка.

Когда пользователь обращается к серверу, OCSP отправляет запрос о состоянии сертификата. Сервер возвращает состояние сертификата, сообщая, является ли он 'действительным', 'просроченным' или 'неизвестным'. Этот протокол определяет порядок взаимодействия сервера сертификатов и клиента.

OCSP проверяет статус сертификатов безопасности в режиме реального времени, что особенно важно для расширенной проверки сертификатов Secure Socket Layer (SSL) и Transport Layer Security (TLS). При установлении HTTPS-соединения браузеры выполняют проверку OCSP через центр сертификации (CA), чтобы убедиться, что сертификат всё ещё действителен и не был отозван. Однако эта проверка может задержать рукопожатие SSL, но она предоставляет пользователям доступ к серверу до обновления сертификатов, поскольку разрешает доступ к серверу с просроченными сертификатами.

Как работает OCSP?

Когда необходимо проверить действительность сертификата, запрос OCSP отправляется ответчику OCSP, управляемому центром сертификации. Этот ответчик проверяет запрос и возвращает статус сертификата: действителен, отозван или неизвестен. OCSP поддерживается большинством популярных браузеров, таких как Apple Safari, Internet Explorer, Microsoft Edge и Mozilla Firefox.

OCSP и CRL

Чтобы подтвердить, был ли отозван сертификат веб-сайта, браузеры обычно используют и OCSP, и CRL. CRL представляет собой список серийных номеров  сертификатов, отозванных центром сертификации (CA), но он может устареть, поэтому его необходимо периодически загружать для поддержания актуальности.

В отличие от CRL, OCSP проверяет статус отзыва сертификата в режиме реального времени, повышая безопасность и надёжность подписи, поскольку гарантирует действительность сертификата. Благодаря мгновенному обновлению статуса этот процесс намного эффективнее загрузки всего списка.

Проблемы OCSP

Хотя OCSP очень эффективен, он сталкивается с некоторыми проблемами, такими как увеличение затрат для CA и вопросы конфиденциальности. Проверка OCSP в реальном времени может поставить под угрозу конфиденциальность данных о просмотре веб-страниц пользователем, поскольку запросы отправляются по незашифрованному HTTP и связаны с конкретными сертификатами. Это означает, что любой, кто перехватит трафик между браузером и ответчиком OCSP, сможет узнать, какие сайты посещал пользователь. Кроме того, если для подтверждения личности приходится обращаться к третьей стороне, работа с браузером может стать немного медленнее.

Технология привязки OCSP как раз и предназначена для решения этих проблем. Эта технология позволяет включать существующий ответ OCSP в HTTPS-соединение, обеспечивая конфиденциальность (сокращая количество отдельных запросов, отправляемых браузером) и экономию времени (сокращая объем данных, передаваемых между сервером и браузером).

Преимущества OCSP по сравнению с CRL

OCSP имеет несколько существенных преимуществ перед CRL в процессе проверки сертификатов:

Проверка в реальном времени: OCSP позволяет мгновенно проверить статус сертификата и тем самым быстро заблокировать отозванные сертификаты, тогда как CRL требуют периодического обновления, что может привести к задержке распространения информации об отзыве.

Гибкая архитектура: OCSP может масштабироваться независимо, чтобы справляться с большими объёмами трафика, а центры сертификации (CA) также могут делегировать обработку запросов сторонним ответчикам, тем самым повышая эффективность.

Низкая ресурсоемкость: запросы OCSP очень малы по сравнению с CRL, для которых требуется загрузка больших списков отозванных сертификатов и более высокая пропускная способность, что снижает нагрузку на сеть.

Подробная диагностика: ответчики OCSP могут предоставлять конкретную информацию о состоянии сертификата и причине его отзыва, а не просто указывать «действителен» или «отозван».

Отсутствие фиксированного цикла обновления: OCSP позволяет отправлять непрерывные запросы без необходимости ожидать фиксированного обновления, что обеспечивает более быстрое реагирование на изменения статуса сертификата.

Эти преимущества делают OCSP предпочтительным решением в средах, где требуется актуальная и эффективная проверка сертификатов.