- Let’s Encrypt có kế hoạch chấm dứt hỗ trợ OCSP (Online Certificate Status Protocol) càng sớm càng tốt và chuyển sang Certificate Revocation Lists (CRLs)
- OCSP và CRLs đều là các cơ chế truyền tải thông tin thu hồi chứng chỉ, nhưng CRLs có nhiều ưu điểm hơn so với OCSP
- Let’s Encrypt đã cung cấp OCSP responder kể từ khi ra mắt cách đây 10 năm, và đã bổ sung hỗ trợ CRLs vào năm 2022
- Các website và khách truy cập sẽ không bị ảnh hưởng bởi thay đổi này, nhưng một số phần mềm không chạy trong trình duyệt có thể bị ảnh hưởng
Lý do chấm dứt hỗ trợ OCSP
- OCSP gây ra rủi ro đáng kể đối với quyền riêng tư trên Internet
- Khi kiểm tra trạng thái thu hồi chứng chỉ qua OCSP, tổ chức phát hành chứng chỉ (CA) có thể biết ngay website nào đã được truy cập từ một địa chỉ IP cụ thể của khách truy cập
- Let’s Encrypt không cố ý lưu giữ thông tin này, nhưng có thể bị buộc phải thu thập theo yêu cầu pháp lý
- CRLs không gặp vấn đề này
Đơn giản hóa hạ tầng CA
- Việc giữ cho hạ tầng CA của Let’s Encrypt đơn giản nhất có thể là điều quan trọng
- Việc vận hành dịch vụ OCSP tiêu tốn nhiều tài nguyên, và giờ đây khi đã hỗ trợ CRLs, dịch vụ OCSP trở nên không còn cần thiết
Quyết định của CA/Browser Forum
- Vào tháng 8 năm 2023, CA/Browser Forum đã thông qua quyết định cho phép các CA được tin cậy công khai có thể tùy chọn cung cấp dịch vụ OCSP
- Ngoại trừ Microsoft, hầu hết các root program hiện không còn yêu cầu OCSP nữa
- Nếu Microsoft Root Program cũng chuyển OCSP thành tùy chọn, Let’s Encrypt có kế hoạch công bố lộ trình cụ thể và nhanh chóng để chấm dứt dịch vụ OCSP
Khuyến nghị chấm dứt phụ thuộc vào dịch vụ OCSP
- Những ai hiện đang phụ thuộc vào dịch vụ OCSP nên bắt đầu quá trình loại bỏ sự phụ thuộc đó càng sớm càng tốt
- Nếu bạn đang dùng chứng chỉ Let’s Encrypt để bảo vệ các kết nối không qua trình duyệt như VPN, hãy xác nhận rằng phần mềm vẫn hoạt động đúng ngay cả khi chứng chỉ không còn chứa URL OCSP
- Hầu hết các triển khai OCSP hoạt động theo kiểu "fail open", nên hệ thống sẽ không bị dừng lại nếu không thể lấy phản hồi OCSP
Tóm tắt của GN⁺
- Giải thích lý do Let’s Encrypt chấm dứt hỗ trợ OCSP và chuyển sang CRLs, cùng tầm quan trọng của thay đổi này
- Nhấn mạnh rằng OCSP có thể gây ra vấn đề về quyền riêng tư, và CRLs có thể giải quyết điều đó như thế nào
- Đề cập đến nhu cầu đơn giản hóa hạ tầng CA và tiết kiệm tài nguyên
- Thể hiện kỳ vọng về quyết định của CA/Browser Forum và kế hoạch sắp tới của Microsoft
- Đưa ra lời khuyên cho những người dùng đang phụ thuộc vào dịch vụ OCSP
2 bình luận
CRL có vấn đề về tốc độ gia hạn/đồng bộ, và khi kích thước tăng lên thì tốc độ tra cứu cũng có thể bị giới hạn, nên tôi khá tò mò họ sẽ giải quyết vấn đề này như thế nào. Hơn nữa, cũng có thể dự đoán rằng số lượng chứng chỉ do Let’s Encrypt quản lý sẽ lớn hơn rất nhiều so với các nhà cung cấp chứng chỉ khác.
Ý kiến trên Hacker News
Sau khi tạo OCSP Watch, người ta thường phát hiện trong log CT rằng CA đôi khi quên mất việc họ đã phát hành chứng chỉ
Nên mặc định thêm ràng buộc Must Staple vào mọi chứng chỉ
letsencrypt là hạ tầng Internet lấy cộng đồng làm trung tâm mà chúng ta từng hình dung cách đây 20 năm
Nếu Microsoft Root Program biến OCSP thành tùy chọn, letsencrypt có kế hoạch ngừng dịch vụ OCSP
Quản lý chứng chỉ là một bài toán thú vị ở giao điểm giữa hành vi con người và khoa học máy tính
Tò mò không biết hỗ trợ CRL trên web server hiện ra sao
Tò mò không biết điều này có ý nghĩa gì với những người đang dùng LetsEncrypt
Tò mò không biết nếu không dùng Chrome hay Firefox thì có thể kiểm tra việc thu hồi chứng chỉ bằng cách nào
Tò mò không biết có nhà cung cấp chứng chỉ miễn phí hoặc giá rẻ nào hỗ trợ ACME, thử thách DNS-01 và OCSP không
CRL không có khả năng mở rộng và mất nhiều thời gian để cập nhật