維基百科

OCSP裝訂

OCSP裝訂（英語：OCSP Stapling），正式名稱為TLS證書狀態查詢擴展，可代替在線證書狀態協議（OCSP）來查詢X.509證書的狀態。[1]伺服器在TLS握手時發送事先緩存的OCSP響應，用戶只需驗證該響應的有效性而不用再向數字證書認證機構（CA）發送請求。[2][3]

動機

OCSP裝訂解決了在線證書協議中的大多數問題。[3]CA給網站頒發證書之後，網站的每個訪問者都會進行OCSP查詢。因此使用在線證書協議時，高並發的請求會給CA的伺服器帶來很大的壓力。[4]同時由於必須和CA建立連接，OCSP查詢還會影響瀏覽器打開頁面的速度並洩漏用戶隱私。[4]此外，當OCSP查詢無法得到響應時，瀏覽器必須選擇是否在無法確認證書狀態的情況下繼續連接，造成安全性和可用性二選一的困局。[5]

標準

RFC 6066 第8章中規定了TLS證書狀態查詢擴展的標準。

RFC 6961 定義了多證書狀態查詢擴展，允許TLS握手中發送多個證書的OCSP響應。

發展

對OCSP裝訂的支持正在逐步落實。OpenSSL在Mozilla基金會的協助下發布了支持OCSP裝訂的0.9.8g版本。

伺服器端的支持情況：

軟體名 版本
Httpd 2.3.3[6]
Nginx 1.3.7[7]
IIS Windows Server 2008[8]
HAProxy 1.5.0[9]
LiteSpeed Web Server 4.2.4[10]
F5 Networks BIG-IP 11.6.0[11]

瀏覽器的支持情況：

軟體名 版本
Firefox 26[12]
IE Vista及以上的Windows。[13]
Chrome Linux、Chrome OS、Vista及以上的Windows[14]

SMTP方面，Exim在客戶端[15]和伺服器端[16]都支持OCSP裝訂。

局限性

OCSP裝訂可以降低OCSP驗證的成本，特別針對有很多用戶的大型網站。但是OCSP裝訂在同一時間只能發送一個OCSP響應，對有中級證書的證書鏈來說並不足夠。[17][18]RFC 6961中提出的多證書狀態查詢擴展解決了這個問題，允許同時發送多個OCSP響應。[19]

參考資料

  1. ^ Eastlake, D. Transport Layer Security (TLS) Extensions: Extension Definitions: Certificate Status Request. Internet Engineering Task Force (IETF). January 2011 [March 2, 2015]. （原始內容存檔於2016-10-18）. 
  2. ^ Prince, Matthew. OCSP Stapling: How CloudFlare Just Made SSL 30% Faster. CloudFlare, Inc. October 29, 2012 [March 2, 2015]. （原始內容存檔於2016-07-12）. 
  3. ^ 3.0 3.1 Gibson, Steve. Security Certificate Revocation Awareness: The case for “OCSP Must-Staple”. Gibson Research Corporation. [March 2, 2015]. （原始內容存檔於2016-04-15）.  引用錯誤：帶有name屬性「Gibson-OCSP-Must-Staple」的<ref>標籤用不同內容定義了多次
  4. ^ 4.0 4.1 A., Jesin. How To Configure OCSP Stapling on Apache and Nginx. Community Tutorials. Digital Ocean, Inc. June 12, 2014 [March 2, 2015]. （原始內容存檔於2016-08-10）.  引用錯誤：帶有name屬性「Digital-Ocean-Tutorial-OCSP-Stapling」的<ref>標籤用不同內容定義了多次
  5. ^ Keeler, David. OCSP Stapling in Firefox. Mozilla Security Blog. Mozilla Foundation. July 29, 2013 [March 2, 2015]. （原始內容存檔於2016-09-11）. 
  6. ^ Apache HTTP Server mod_ssl documentation - SSLUseStapling directive. [2016-08-27]. （原始內容存檔於2016-08-27）. 
  7. ^ nginx-announce mailing list - nginx-1.3.7. [2016-08-27]. （原始內容存檔於2015-05-31）. 
  8. ^ Duncan, Robert. Microsoft Achieves World Domination (in OCSP Stapling). Netcraft Ltd. [28 April 2014]. （原始內容存檔於2016-06-09）. 
  9. ^ HAProxy website. [2016-08-27]. （原始內容存檔於2016-08-26）. 
  10. ^ Release Log - Litespeed Tech （頁面存檔備份，存於網際網路檔案館）.
  11. ^ Release Note: BIG-IP LTM and TMOS 11.6.0. [2016-08-27]. （原始內容存檔於2016-09-23）. 
  12. ^ Improving Revocation - MozillaWiki, retrieved 2014-04-28
  13. ^ How Certificate Revocation Works. TechNet. Microsoft. 16 March 2012 [28 April 2014]. （原始內容存檔於2016-03-07）. 
  14. ^ Issue 361820: Check For Server Certificate Revocation checkbox is confusing. Google Code. Google. 10 April 2014 [2016-08-27]. （原始內容存檔於2015-09-09）. 
  15. ^ The smtp transport （頁面存檔備份，存於網際網路檔案館）, retrieved 2015-01-24
  16. ^ Main configuration （頁面存檔備份，存於網際網路檔案館）, retrieved 2015-01-24
  17. ^ Mozilla NSS Bug 360420 （頁面存檔備份，存於網際網路檔案館）, Comment by Adam Langley
  18. ^ Mozilla NSS Bug 611836 - Implement multiple OCSP stapling extension. [2016-08-27]. （原始內容存檔於2016-09-23）. 
  19. ^ Pettersen, Yngve N. The Transport Layer Security (TLS) Multiple Certificate Status Request Extension. Internet Engineering Task Force. June 2013 [31 October 2014]. （原始內容存檔於2016-12-23）. 
取自「https://zh.wikipedia.org/w/index.php?title=OCSP装订&oldid=63366469」