Let's Encrypt lõpetab OCSP protokolli toe tühistatud sertifikaatide kontrollimiseks.

Üks suurimaid kogukonnale kuuluvaid mittetulunduslikke sertifitseerimiskeskusi Let’s Encrypt, mis pakub sertifikaate tasuta, on otsustanud lõpetada OCSP (Online Certificate Status Protocol) toe, mida kasutatakse sertifikaatide tühistamise kontrollimiseks. OCSP protokolli asemel soovitatakse kasutada tühistatud sertifikaatide nimekirju (CRL - Certificate Revocation List), mida Let’s Encrypt hakkab avaldama alates 2022. aastast. 7. mail 2025 lõpetab Let’s Encrypt linkide lisamise OCSP aadressidele väljastatud sertifikaatidesse ning lõpetab OCSP Must Staple laienduse käsitlemise. 6. augustil 2025 lülitatakse OCSP päringute töötlemine serverites välja.

OCSP toe lõpetamise põhjuseks on toodud mure privaatsuse pärast. OCSP kasutamine tähendab, et iga kord, kui luuakse turvaline ühendus sertifikaadi kehtivuse kontrollimiseks, saadab kliendi süsteem nõude OCSP sertifitseerimiskeskuse serverisse, mis sertifikaadi genereeris. Vastuseks annab server teavet selle kohta, kas antud sertifikaati saab usaldada. Probleem on selles, et sertifitseerimiskeskus saab teada, millal ja milliseid saite kasutaja külastab, seostades selle tema. IP-aadressiga, mis võib olla tõlgendatav kui privaatsusandmete lekke oht. Lisaks põhjustab OCSP kasutamine päringu töötlemisel viivitusi, nõuab kasutajalt stabiilsete internetiühenduste olemasolu ning loob sõltuvuse OCSP serverite katkematust tööst.

Sertifikaatide tühistamise kontrollimise privaatsusprobleemide lahendamiseks on välja töötatud OCSP Stapling tehnoloogia, mille olemus seisneb selles, et sertifitseerimiskeskuse kinnitatud OCSP vastuseid saab edastada veebisaitide serverite kaudu klientidega TLS-ühenduse loomise ajal (OCSP teabe edastus kolmandate osapoolte) serverid , mis vabastab kliendi süsteemi otseühenduse loomise vajadusest OCSP sertifitseerimiskeskuse serveriga, samas kui vastuste õigsust tagab sertifitseerimiskeskuse digiallkiri).

Lisaks OCSP Staplingule olemasolevad sertifikaatide lisand "OCSP Must Staple", mis nõuab brauseridelt OCSP Staplingu tehnika kasutamist sirge pöördumise asemel OCSP-serveritele ning nõuab sertifikaadi pidamist usaldusväärseks, kui teenindav veebiserver ei ole tagastanud kinnitatud OCSP-vastust. Kahjuks ei ole "Must Staple" laialdaselt levinud brauserites, ning OCSP Staplingi tehnoloogia sõltub HTTP-serveri toetuse selgest sisselülitamisest (nginx toetab seda alates 2013. aastast).

CRL-i kasutamisel toimub sertifikaatide kehtetuks tunnistamise kontroll kohaliku süsteemi kaudu, tuginedes tunnustuskeskuse koostatud nimekirjadele. Sellise lähenemise miinusteks on väga suur allalaaditav andmekogus ja ajutiste teabe mittetäienduste ilmnemine (näiteks Firefoxis värskendatakse andmeid iga 6 tunni tagant). Probleem andmekoguse suurusega on lahendatud brauserites CRL-i proksimise kaudu brauserite tootjate serverites — brauserite koosseisu kuulub põhitoimingute CRL, mis tööprotsessi jooksul sünkroonitakse perioodiliselt aktuaalse nimekirjaga (klientide süsteemidele edastatakse vaid muudetud andmed). Andmebaasi suuruse vähendamiseks rakendatakse CRL-i puhul tõenäosuslikku struktuuri "Bloom filter", mis võimaldab hoida kogu CRL-baas kliendi poolel väga kompaktsemalt. Firefoxis on sarnane tehnika rakendatud CRLite tööriistade abil, Chrome'is aga — CRLSets.

Allikas: opennet.ru