A közösség által irányított Let's Encrypt nem-profit igazoló központ, amely ingyenes tanúsítványokat biztosít mindenkinek, úgy döntött, hogy leállítja az OCSP (Online Certificate Status Protocol) protokoll támogatását, amelyet a tanúsítványok visszavonásának ellenőrzésére használnak. Az OCSP protokoll helyett a Let's Encrypt javasolja a visszavont tanúsítványok listáinak (CRL - Certificate Revocation List) használatát, amelyeket 2022-től publikálnak. 2025. május 7-én a Let's Encrypt leállítja az OCSP címek hozzáadását a kibocsátott tanúsítványokhoz, és megszünteti az „OCSP Must Staple” kiterjesztéssel kapcsolatos kérelmek feldolgozását. 2025. augusztus 6-án az OCSP-kérelmek kezelői a szervereken le lesznek állítva.
Az OCSP támogatásának leállításának okaként a magánélet védelmét említik. Az OCSP használata azt jelenti, hogy minden egyes védett kapcsolat létesítésekor a kliensrendszer kérdést küld az OCSP szerverhez, amely a tanúsítványt kibocsátotta, a tanúsítvány érvényességének ellenőrzésére. Erre a szerver a megadott tanúsítvány megbízhatóságáról nyújt információt. A probléma az, hogy az igazoló központ információt kap arról, mikor és milyen webhelyeket látogat a felhasználó, összekapcsolva az ő IP-cím alapján határozza meg a helyet, ami adatvédelmi információk kiszivárgásaként értelmezhető. Továbbá az OCSP használata késleltetést okoz a kérés feldolgozásában, garantált hálózati hozzáférést igényel a felhasználótól és függőséget teremt az OCSP-szerverek folyamatos üzemelésétől.
A tanúsítványok visszavonásának ellenőrzésével kapcsolatos adatvédelmi problémák megoldására kifejlesztett OCSP Stapling technológia lényege, hogy az igazoló központ által megerősített OCSP válaszok átadhatók az webszervereknek a klienssel való TLS kapcsolat létesítése során (az OCSP adatok átvitele a szerverek weboldalakra eltávolítja a kliensrendszer közvetlen kapcsolatát az igazoló központ OCSP szerverével, míg a válaszok helyességét az igazoló központ digitális aláírása biztosítja).
Az OCSP Stapling mellett létezik egy, a tanúsítványokba beépített «OCSP Must Staple» kiterjesztés, amely előírja a böngészők számára, hogy az OCSP Stapling technikát használják az OCSP-szerverek közvetlen megkeresése helyett, és megköveteli, hogy a tanúsítványt nem megbízhatónak tekintsék, ha a szerver nem adott vissza érvényes OCSP-választ. Sajnos a «Must Staple» kiterjesztés nem terjedt el széles körben a böngészőkben, és az OCSP Stapling technológia attól függ, hogy a HTTP-szerveren a támogatásExplicit aktiválása szükséges (az nginx támogatja 2013 óta).
A CRL használata esetén a tanúsítványok visszavonásának ellenőrzése a helyi rendszeren történik, az igazoló központ által létrehozott listák alapján. Ennek a megközelítésnek a hátrányai közé tartozik a letöltött adatok nagyon nagy mérete és egy időszakos információs hiányosság (például Firefoxban az adatok 6 óránként frissülnek). A méret problémáját a böngészők a CRL proxyzálásával oldják meg a böngészőgyártók szerverein — a böngészőkbe belefoglalják az alap CRL-t, amely a működés során időszakosan szinkronizálódik a legfrissebb listával (csak a megváltozott adatok kerülnek át a kliens rendszerére). A CRL adatbázis méretének csökkentése érdekében a «Bloom filter» valószínűségi struktúráját használják, amely lehetővé teszi a CRL teljes adatbázisának nagyon kompakt tárolását a kliens oldalán. Firefoxban hasonló technikát valósítanak meg a CRLite eszközkészlettel, míg a Chrome-ban a CRLSets-t alkalmazzák.
Forrás: opennet.ru
