Czym jest OCSP stapling?

OCSP stapling to technologia optymalizująca proces sprawdzania, czy dany certyfikat bezpieczeństwa jest nadal ważny. W tradycyjnym modelu to przeglądarka użytkownika musi zapytać wystawcę certyfikatu, czy nie został on unieważniony. W przypadku OCSP stapling to serwer bierze ten ciężar na siebie.

Serwer okresowo pobiera potwierdzenie statusu certyfikatu od wystawcy i „przypina” (ang. staple) tę cyfrowo podpisaną informację bezpośrednio do procesu nawiązywania bezpiecznego połączenia. Dzięki temu każda osoba odwiedzająca stronę, która posiada aktywny certyfikat ssl, może błyskawicznie zweryfikować jego autentyczność bez nawiązywania dodatkowych połączeń zewnętrznych.

OCSP to protokół służący do sprawdzania, czy certyfikat nie został cofnięty przed upływem terminu ważności. Taka sytuacja może się zdarzyć na przykład wtedy, gdy klucz prywatny wycieknie, certyfikat został wydany błędnie albo właściciel domeny chce go unieważnić.

Bez dodatkowych usprawnień przeglądarka użytkownika może próbować samodzielnie połączyć się z serwerem OCSP wystawcy certyfikatu. To wydłuża cały proces ładowania strony i wprowadza zależność od zewnętrznej usługi.

Jak działa OCSP stapling?

Mechanizm jest dość prosty:

1. Serwer pobiera od wystawcy certyfikatu aktualną odpowiedź OCSP.
2. Przechowuje ją przez określony czas.
3. Podczas nawiązywania połączenia TLS dołącza tę odpowiedź do handshake.
4. Przeglądarka sprawdza odpowiedź i nie musi wykonywać osobnego zapytania do zewnętrznego serwera OCSP.

Właśnie to „dołączenie” odpowiedzi do połączenia nazywa się staplingiem. Można to porównać do sytuacji, w której serwer mówi: mam ważny certyfikat i od razu pokazuję aktualne potwierdzenie.

OCSP stapling działa więc w tle, ale ma realny wpływ na szybkość i niezawodność działania HTTPS.

Korzyści z wdrożenia OCSP stapling

• Szybkość: Skrócenie czasu tzw. handshake’u TLS o kilkadziesiąt, a nawet kilkaset milisekund.
• Niezawodność: Strona ładuje się poprawnie nawet wtedy, gdy serwery wystawcy certyfikatu mają chwilową awarię lub są przeciążone.
• Prywatność: Dane o ruchu Twoich użytkowników nie wyciekają do zewnętrznych firm certyfikujących.