OCSP
siglacriptografiasegurança
Significa: Online Certificate Status Protocol
Um protocolo para verificar em tempo real se um certificado foi revogado.
Protocolo de Status de Certificado Online (do inglês Online Certificate Status Protocol, RFC 6960) permite que um cliente pergunte a um respondedor se um certificado ainda é válido, uma alternativa a baixar grandes listas de revogação. O grampeamento OCSP permite que o próprio servidor apresente a prova para evitar uma viagem de ida e volta separada.
O OCSP responde a uma pergunta que os certificados não conseguem responder sozinhos: este certificado foi revogado desde que foi emitido? Um certificado carrega o próprio prazo de validade, mas a revogação é uma decisão tomada depois, então o cliente precisa perguntar em algum lugar, e o OCSP é o protocolo para perguntar.
O desenho ingênuo tinha dois problemas sérios. Todo cliente contatando a autoridade certificadora a cada conexão é um vazamento de privacidade, já que a autoridade descobre quais sites você visita, e uma dependência de desempenho, já que um respondedor lento ou inalcançável atrasa ou quebra o handshake. Pior, clientes que falham abrindo, como a maioria fazia, não ganham segurança alguma contra um atacante que também consiga bloquear o respondedor.
O stapling é a correção que vingou. O servidor busca periodicamente o próprio status assinado e o inclui no handshake, então o cliente recebe uma resposta fresca sem requisição extra, sem vazamento de privacidade e sem dependência de terceiros no caminho da conexão. O must-staple vai além ao marcar o certificado como exigindo isso, o que fecha a brecha do falhar abrindo. A direção mais ampla é encurtar a validade dos certificados, o que reduz a janela para a qual a revogação é necessária.
Também conhecido como: ocsp