OCSP

Az Online Certificate Status Protocol ( OCSP ) egy internetes protokoll, amelyet az X.509 digitális tanúsítvány visszavonási állapotának megállapítására használnak . A protokollmechanizmust az RFC 6960 írja le, és ez az Internet egyik de facto szabványa . A tanúsítvány visszavonási listák (CRL) alternatívájaként hozták létre, kifejezetten a CRL-ek nyilvános kulcsú infrastruktúrában ( PKI ) való használatával kapcsolatos problémák megoldására. Az OCSP üzenetek ASN.1 kódolásúak, és általában HTTP -n keresztül kerülnek továbbításra . Az üzenetek kérés/válasz párbeszédpaneljei lehetővé teszik, hogy az OCSP-kiszolgálókat OCSP- válaszadóknak nevezzük .

Nem minden webböngésző használ OCSP-t a HTTPS SSL/TLS-tanúsítványok érvényesítésére .

Összehasonlítás a CRL -ekkel

A PKI alapvető megvalósítása

  1. Alena és Boris válaszadók, mindegyik rendelkezik nyilvános kulcsú tanúsítvánnyal, amelyet valamilyen tanúsító hatóság (Certificate Authority, CA ) bocsátott ki.
  2. Alyona tranzakciót akar kötni Borisszal, és elküldi neki a nyilvános kulcsú tanúsítványát.
  3. Boris attól tartva, hogy az Alyona privát kulcsa feltörhetett, létrehoz egy „OCSP-kérést”, amely tartalmazza az Alyona tanúsítványának sorozatszámát, és elküldi a CA -nak .
  4. A Hitelesítés-szolgáltató OCSP szolgáltatása kiolvassa a tanúsítvány sorszámát Boris kéréséből, és megkeresi Alena tanúsítványának állapotát. A CA CA adatbázisban az a lehetséges állapot, hogy a tanúsítványt visszavonták. Ebben az esetben a CA - adatbázis az egyetlen megbízható forrás, amely megerősítheti, hogy Alena tanúsítványát feltörték.
  5. A Hitelesítés-szolgáltató OCSP szolgáltatása megerősíti, hogy Alena tanúsítványa továbbra is rendben van, és aláírt, pozitív "OCSP választ" küld Borisnak.
  6. Boris titkosítással ellenőrzi a CA aláírt válaszát . A CA nyilvános kulcsát Boris előre elmentette, és ezzel ellenőrzi a CA válaszának érvényességét.
  7. Boris befejezi a tranzakciót Alenával.

Protokoll részletei

Az OCSP válaszadó (általában a CA-kiszolgáló) aláírt választ ad vissza a kérésben megadott tanúsítvány állapotával: érvényes , visszavonva vagy ismeretlen állapot . Ha nem tudja feldolgozni a kérést, hibakódot küldhet vissza.

Az OCSP-kérés formátuma további kiterjesztéseket is támogat. Ez további testreszabást tesz lehetővé egy adott PKI -sémához .

Az OCSP sebezhető lehet az újrajátszható támadásokkal szemben, amikor az aláírt, érvényes választ egy rosszindulatú közvetítő rögzíti, és később, az alanyi tanúsítvány visszavonása után visszajátssza az ügyfélnek. Az OCSP lehetővé teszi, hogy egy nonce szerepeljen a kérésben – egy nonce , amely a megfelelő válaszban szerepelhet. A nagy terhelés miatt a legtöbb OCSP válaszadó nem használja a nonce kiterjesztést arra, hogy minden kéréshez különböző válaszokat hozzon létre, hanem előre aláírt, több napos érvényességi idejű válaszokat használ. Így az újrajátszó támadás komoly veszélyt jelent az érvényesítő rendszerekre.

Az OCSP egynél több CA réteget is támogathat. Az OCSP kérések összekapcsolhatók a peer-to-peer válaszadók között, hogy az alany tanúsítványához megfelelő kibocsátó CA-t kérjenek, a válaszadók pedig saját OCSP kéréseik segítségével érvényesítik egymás válaszait a gyökér CA-nak.

Az OCSP válaszadó visszavonási információkat kérhet a delegált elérési út érvényesítési (DPV) kiszolgálóiról. Az OCSP önmagában nem teljesíti a szállított tanúsítványok DPV-jét.

A választ aláíró kulcsnak nem kell megegyeznie a tanúsítványt aláíró kulccsal. A tanúsítvány kibocsátója átruházhat egy másik hatóságot, hogy OCSP válaszadó legyen. Ebben az esetben a tanúsítvány válaszadójának (aki a választ aláírta) a kérésre válaszul egy speciális kiterjesztést kell kiadnia a tanúsítvány kibocsátójának, amely OCSP szolgáltatás aláírásként hivatkozik rá (pontosabban egy kiterjesztett használatára). megújítási kulcs azonosítókkal:

OID {iso(1) azonosított szervezet(3) dod(6) internet(1) biztonság(5) mechanizmus(5) pkix(7) kulcsCél(3) ocspSigning(9)})

Megvalósítások

Az OCSP-nek számos nyílt és szabadalmaztatott megvalósítása létezik, beleértve a teljes értékű szervereket és könyvtárakat egyedi alkalmazások készítéséhez. Az OCSP-kliensek támogatása számos operációs rendszerbe, webböngészőbe és más hálózati szoftverbe be van építve a HTTPS és a WWW növekvő népszerűsége miatt .

Szerver

Saját szoftver:

Könyvtárak

Böngésző támogatás

Az OCSP széles körben támogatott a legtöbb fő böngészőben:

A Mozilla Firefox összes verziója támogatja az OCSP ellenőrzést. A Firefox 3 alapértelmezés szerint tartalmazza az OCSP ellenőrzést.

A Google Chrome azonban kivétel. A Google 2012-ben alapértelmezés szerint letiltotta az OCSP-ellenőrzéseket, késleltetési és adatvédelmi problémákra hivatkozva, és ehelyett a saját frissítési mechanizmusát használja a visszavont tanúsítványok elküldésére a böngészőnek.

Jegyzetek

  1. ↑ GitHub - letsencrypt/boulder: ACME-alapú tanúsító hatóság, Go-ban írva . Letöltve: 2019. augusztus 13. Az eredetiből archiválva : 2019. augusztus 8..
  2. ↑ Dogtag . Letöltve: 2019. augusztus 13. Az eredetiből archiválva : 2019. augusztus 12.
  3. ↑ EJBCA – A nyílt forráskódú CA. Letöltve: 2019. augusztus 13. Az eredetiből archiválva : 2017. október 3.
  4. ↑ Realm - OpenXPKI 3.1.1 dokumentáció . Letöltve: 2019. augusztus 13. Az eredetiből archiválva : 2020. augusztus 5..
  5. ↑ GitHub – xipki/xipki: Rendkívül skálázható és nagy teljesítményű nyílt forráskódú PKI (CA és OCSP válaszadó). Minimális függőségek, No-JPA, No-Spring . Letöltve: 2019. augusztus 13. Az eredetiből archiválva : 2017. augusztus 31..
  6. ↑ Tanúsítványszolgáltatások – Win32 alkalmazások | Microsoft dokumentumok . Letöltve: 2019. augusztus 13. Az eredetiből archiválva : 2019. augusztus 13.

Külső linkek

 Nyilvános kulcsú kriptorendszerek
Algoritmusok
Egész számok faktorizálása
Diszkrét logaritmus
Kriptográfia rácsokon
Egyéb
Elmélet
Szabványok
Témák