Что такое OCSP и OCSP Stapling

• Без Stapling: клиент → OCSP responder (CA) → 200 OK или revoked
• С Stapling: сервер периодически запрашивает OCSP → кэширует ответ → включает в TLS handshake
• Stapling работает даже когда OCSP responder CA временно недоступен
• Must-Staple флаг в сертификате — требует Stapling, запрещает fallback к прямому OCSP
• nginx: ssl_stapling on; ssl_stapling_verify on;

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/chain.pem;
resolver 1.1.1.1 valid=60s;

• TLS 1.3
• CAA Record
• Как включить HTTP/2

OCSP (Online Certificate Status Protocol) — это протокол, который позволяет проверять статус сертификатов SSL/TLS в реальном времени. OCSP Stapling — это усовершенствованная версия OCSP, при которой информация о статусе сертификата прикрепляется к TLS-соединению сервером, что снижает нагрузку на OCSP-серверы и ускоряет процесс проверки. В этом случае клиенту не нужно делать отдельный запрос к OCSP-серверу, что значительно повышает производительность и безопасность.

OCSP позволяет клиентам (обычно браузерам) проверять статус SSL/TLS-сертификатов без необходимости загружать весь список отозванных сертификатов. Вместо этого, клиент отправляет запрос на OCSP-сервер, который возвращает статус сертификата: действующий, отозванный или неизвестный. Запрос включает в себя информацию о сертификате, например, его серийный номер.

Пример запроса OCSP выглядит следующим образом:

GET /ocsp HTTP/1.1
Host: ocsp.example.com
Content-Type: application/ocsp-request

На ответ клиент получает статус сертификата, который может выглядеть так:

HTTP/1.1 200 OK
Content-Type: application/ocsp-response

При этом важно учитывать, что OCSP-серверы могут быть перегружены, что приводит к задержкам в обработке запросов. Также возможны ситуации, когда сервер недоступен, что может вызвать проблемы с доступом к сайтам.

Для обеспечения надежности и скорости многие администраторы используют OCSP Stapling, который позволяет серверам кешировать статус сертификатов и отправлять его вместе с TLS-соединением. Это позволяет избежать необходимости в каждом запросе обращаться к OCSP-серверу.

OCSP Stapling позволяет серверам предоставлять клиентам информацию о статусе сертификатов без необходимости делать отдельные запросы к OCSP-серверу. Это достигается путем периодического опроса OCSP-сервера и кеширования полученного ответа на сервере, который использует сертификат.

Для настройки OCSP Stapling на веб-сервере, например, на Nginx, необходимо выполнить следующие шаги:

1. Убедитесь, что у вас установлен SSL-сертификат, поддерживающий OCSP Stapling.
2. Добавьте следующие строки в конфигурационный файл вашего сервера:

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=30s;
ssl_trusted_certificate /path/to/ca-bundle.crt;

В этом примере используются публичные DNS-серверы Google. Параметр valid=30s указывает, что кешированные ответы будут действительны в течение 30 секунд.

Преимущества OCSP Stapling включают:

• Скорость: уменьшает время загрузки страниц за счет отсутствия необходимости в дополнительных запросах.
• Безопасность: снижает риск атак типа «человек посередине», так как клиенту не нужно обращаться к сторонним OCSP-серверам.
• Нагрузка на сервер: уменьшает количество запросов к OCSP-серверам, что позволяет им работать более эффективно.

Таким образом, OCSP Stapling является важным инструментом для повышения безопасности и производительности веб-сайтов, использующих SSL/TLS-сертификаты.