OCSP Stapling: как работает данная технология

Кодирование веб-трафика – процедура, позволяющая повысить безопасность передачи пользовательских данных. Однако само по себе кодирование бессмысленно, если не реализованы дополнительные меры, среди которых можно выделить проверку статуса SSL-сертификата. Сертификат не должен быть отозванным или истекшим, иначе к нему не будет доверия.

Как узнать, является ли сертификат доверенным? Сделать это можно единственным способом – спросить об этом у самого поставщика, т.е. у удостоверяющего центра, который хранит всю информацию, связанную с выпущенным сертификатом.

С помощью OCSP (Online Certificate Status Protocol) веб-браузеры могут проверить достоверность SSL-сертификата. Реализуется это при помощи технологии OCSP Stapling (сшивание OCSP). В этом случае веб-сервер загружает копию ответа удостоверяющего центра, которая затем передается непосредственно в браузер.

Метод OCSP Stapling помогает быстро и безопасно установить достоверность SSL-сертификата. Последовательность проверки достоверности сертификата по технологии OCSP Stapling состоит из следующих шагов:

• Шаг 1. Веб-сервер, на котором находится вебсайт, защищенный SSL, отправляет запрос удостоверяющему центру. В ответе от УЦ приходит статус сертификата, а также подписанный timestamp (временная метка). Подписание метки позволяет гарантировать то, что она не будет каким-либо образом изменена веб-сервером.
  
• Шаг 2. Браузер посетителя подключается к серверу. В этот момент сервер привязывает временную метку, полученную от УЦ, к SSL-сертификату.
  
• Шаг 3. Браузер проверяет временную метку. Она подписана поставщиком сертификата, а значит, ей можно доверять.
  
• Шаг 4. Если SSL-сертификат является доверенным, то в таком случае браузер откроет страницу. В противном случае пользователь получит сообщение об ошибке.
  

Данный подход позволяет снять нагрузку с удостоверяющих центров и перенести ее на веб-хостинги. Как результат, SSL-соединения устанавливаются быстрее, что позволяет защитить конфиденциальную информацию пользователей от попадания в руки злоумышленников.

Какие преимущества заключает в себе технология OCSP Stapling

Благодаря OCSP Stapling достигаются сразу несколько целей:

• Гарантируется безопасность и конфиденциальность данных пользователей
  
• Пользователи быстрее загружают защищенный контент, поскольку браузерам не нужно совершать многочисленные запросы
  
• Сохраняется пропускная способность на стороне клиента, что является преимуществом для мобильных пользователей
  
• Рост доверия и удовлетворенности клиентов за счет увеличения скорости доставки защищенного контента
  

Как включить OCSP Stapling

Технология OCSP Stapling поддерживается всеми современными браузерами. Для включения OCSP Stapling в Apache и Nginx необходимо выполнить следующие действия.

Включение OCSP Stapling в Apache

Для включения OCSP Stapling в Apache используется директива SSLUseStapling. Если директива включена, mod_ssl будет содержать OCSP-запрос для SSL-сертификата в TLS handshake. Обязательным условием для включения OCSP Stapling является настройка SSLStaplingCache.

• Шаг 1. Редактируем VirtualHost вашего сайта. Добавляем в блок  <VirtualHost></VirtualHost> следующую команду:
  

SSLUseStapling on

• Шаг 2. Над или под блоком  <VirtualHost></VirtualHost> задаем следующий код:
  

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

• Шаг 3. Выполняем проверку конфигурации:
  

Apachectl –t

• Шаг 4. Перезапускаем Apache:
  

service apache2 reload

Включение OCSP Stapling в Nginx

Для включения OCSP Stapling в Nginx используется директива ssl_stapling. 

• Шаг 1. Редактируем конфигурационный файл для вашего сайта. В блок server { } добавляем следующие директивы:
  

ssl_stapling on;

ssl_stapling_verify on;

• Шаг 2 (необязательный). Добавляем DNS resolver (Google DNS). Если его не задать, то в таком случае будет использоваться DNS сервера.
  

resolver 8.8.4.4 8.8.8.8;

• Шаг 3. Проверяем конфигурацию:
  

nginx –t

• Шаг 4. Перезагружаем Nginx:
  

systemctl restart nginx

Если вы хотите заказать SSL-сертификат от доверенного удостоверяющего центра, вы всегда можете сделать это в магазине LeaderSSL. У нас вы найдете широкий спектр SSL-сертификатов, предназначенных как для владельцев небольших сайтов, так и для крупных организаций и интернет-магазинов.