OCSP裝訂（英語：OCSP Stapling），正式名稱為TLS證書狀態查詢擴展，可代替在線證書狀態協議（OCSP）來查詢X.509證書的狀態。[1]服務器在TLS握手時發送事先緩存的OCSP響應，用戶只需驗證該響應的有效性而不用再向數字證書認證機構（CA）發送請求。[2][3]
動機
OCSP裝訂解決了在線證書協議中的大多數問題。[3]CA給網站頒發證書之後，網站的每個訪問者都會進行OCSP查詢。因此使用在線證書協議時，高並發的請求會給CA的服務器帶來很大的壓力。[4]同時由於必須和CA建立連接，OCSP查詢還會影響瀏覽器打開頁面的速度並泄漏用戶隱私。[5]此外，當OCSP查詢無法得到響應時，瀏覽器必須選擇是否在無法確認證書狀態的情況下繼續連接，造成安全性和可用性二選一的困局。[6]
標準
RFC 6066 第8章中規定了TLS證書狀態查詢擴展的標準。
RFC 6961 定義了多證書狀態查詢擴展，允許TLS握手中發送多個證書的OCSP響應。
發展
對OCSP裝訂的支持正在逐步落實。OpenSSL在Mozilla基金會的協助下發布了支持OCSP裝訂的0.9.8g版本。
服務器端的支持情況：
| 軟件名 | 版本 |
|---|---|
| Httpd | 2.3.3[7] |
| Nginx | 1.3.7[8] |
| IIS | Windows Server 2008[9] |
| HAProxy | 1.5.0[10] |
| LiteSpeed Web Server | 4.2.4[11] |
| F5 Networks BIG-IP | 11.6.0[12] |
瀏覽器的支持情況：
| 軟件名 | 版本 |
|---|---|
| Firefox | 26[13] |
| IE | Vista及以上的Windows。[14] |
| Chrome | Linux、Chrome OS、Vista及以上的Windows[15] |
SMTP方面，Exim在客戶端[16]和服務器端[17]都支持OCSP裝訂。
局限性
OCSP裝訂可以降低OCSP驗證的成本，特別針對有很多用戶的大型網站。但是OCSP裝訂在同一時間只能發送一個OCSP響應，對有中級證書的證書鏈來說並不足夠。[18][19]RFC 6961中提出的多證書狀態查詢擴展解決了這個問題，允許同時發送多個OCSP響應。[20]
參考資料
- ↑ Eastlake, D. Transport Layer Security (TLS) Extensions: Extension Definitions: Certificate Status Request. Internet Engineering Task Force (IETF). 2011-01 [2015-03-02].
- ↑ Prince, Matthew. OCSP Stapling: How CloudFlare Just Made SSL 30% Faster. CloudFlare, Inc. 2012-10-29 [2015-03-02].
- ↑ 3.0 3.1 Gibson, Steve. Security Certificate Revocation Awareness: The case for “OCSP Must-Staple”. Gibson Research Corporation. [2015-03-02].
- ↑ A., Jesin. How To Configure OCSP Stapling on Apache and Nginx. Community Tutorials. Digital Ocean, Inc. 2014-06-12 [2015-03-02].
- ↑ A., Jesin. How To Configure OCSP Stapling on Apache and Nginx. Community Tutorials. Digital Ocean, Inc. 2014-06-12 [2015-03-02].
- ↑ Keeler, David. OCSP Stapling in Firefox. Mozilla Security Blog. Mozilla Foundation. 2013-07-29 [2015-03-02].
- ↑ Apache HTTP Server mod_ssl documentation - SSLUseStapling directive. [2016-08-27].
- ↑ nginx-announce mailing list - nginx-1.3.7. [2016-08-27].
- ↑ Duncan, Robert. Microsoft Achieves World Domination (in OCSP Stapling). Netcraft Ltd. [2014-04-28].
- ↑ HAProxy website. [2016-08-27].
- ↑ Release Log - Litespeed Tech .
- ↑ Release Note: BIG-IP LTM and TMOS 11.6.0. [2016-08-27].
- ↑ Improving Revocation - MozillaWiki, retrieved 2014-04-28
- ↑ How Certificate Revocation Works. TechNet. Microsoft. 2012-03-16 [2014-04-28].
- ↑ Issue 361820: Check For Server Certificate Revocation checkbox is confusing. Google Code. Google. 2014-04-10.
- ↑ The smtp transport , retrieved 2015-01-24
- ↑ Main configuration , retrieved 2015-01-24
- ↑ Mozilla NSS Bug 360420 , Comment by Adam Langley
- ↑ Mozilla NSS Bug 611836 - Implement multiple OCSP stapling extension. [2016-08-27].
- ↑ Pettersen, Yngve N. The Transport Layer Security (TLS) Multiple Certificate Status Request Extension. Internet Engineering Task Force. 2013-06 [2014-10-31].