Követelmények: A weboldal lehetővé teszi az OCSP funkciót, az OCSP tűzés az egyik HTTPS optimalizálási megoldás, amely továbbítja az eredetileg valós időben indítandó OCSP kérést a szervernek, és a Nginx szolgáltatási terület megkapja az OCSP lekérdezés eredményeit, majd elküldi azokat a tanúsítványsal együtt az ügyfélnek, így az ügyfél kihagyhatja a hitelesítési folyamatot, és javíthatja a TLS kézfogás hatékonyságát. A HTTPS teljesítménye javítható.
OCSP
Az OCSP (Online Certificate Status Protocol) egy online lekérdezési protokoll, amelyet a tanúsítványok legitimitásának és érvényességének ellenőrzésére használnak, és amelyet a Digitális Tanúsító Hatóság (CA) biztosít. Minden alkalommal, amikor egy felhasználó HTTPS-en keresztül hozzáfér egy weboldalhoz, a böngésző OCSP lekérdezést használ annak ellenőrzésére, hogy a weboldal tanúsítványa érvényes-e.
Amikor az OCSP tűzésre van engedélyezve, az OCSP lekérdezéseket a webszerver végzi, és a web gyorsgyorsatárba helyezi a lekérdezés eredményeit. Amikor az ügyfél kezet fog a webszerver TLS-ével, a web közvetlenül reagál az ügyfél OCSP információira és tanúsítványára az ügyfél ellenőrzéséhez, így nincs szükség arra, hogy a kliens lekérdezési kéréseket küldjen a CA-nak, ami jelentősen javítja a TLS kézfogás hatékonyságát, spórolja a felhasználói hitelesítési időt, és optimalizálja a HTTPS sebességét. Ha javítani szeretnéd a tanúsítvány státusz-ellenőrzésének hatékonyságát a HTTPS handshake-ekben, és javítani a weboldalhoz való hozzáférés teljesítményét, engedélyezheted az OCSP kötést.
Ahogy az alábbi ábrán látható:
Online Tanúsítvány Státusz Protokoll (OCSP)
Az Online Certificate Status Protocolt (OCSP) alternatívaként hozták létre a Certificate Revocation List (CRL) protokoll mellett. Mindkét protokollt arra használják, hogy ellenőrizzék, visszavonták-e az SSL tanúsítványt.
A CRL protokoll megköveteli, hogy a böngészők nagy számú SSL tanúsítvány visszavonási információt töltsenek le: a tanúsítvány sorozatszámát és az egyes tanúsítványok utolsó kiadási dátumát. A CRL protokoll problémája, hogy meghosszabbíthatja az SSL tárgyalások idejét.
Az OCSP protokoll kizárja a böngészők szükségességét, hogy időt töltsenek a tanúsítványinformációk listájának letöltésére és keresésére. Az OCSP-vel a böngésző egyszerűen lekérdezést küld ki, hogy válaszot kapjon az OCSP válaszadójától (a CA szerverétől, amely kifejezetten meghallgatja és válaszol az OCSP kérésekre) a tanúsítvány visszavonásának állapotáról.
OCSP kötés
Az OCSP Stapling javíthatja az OCSP protokollt azáltal, hogy lehetővé teszi a weboldal hótereinek proaktívabbak a kliens (böngészési) élmény javításában. Az OCSP tűzés lehetővé teszi a tanúsítványt kiadó (azaz a webszerver) számára, hogy közvetlenül lekérdezze az OCSP válaszadót, majd gyorsabőrbe helyezze a választ. A biztonságos gyorsítótárból származó válasz a TLS/SSL kézfogással együtt továbbítódik a Certificate Status Request kiterjesztésen keresztül, biztosítva, hogy a böngésző ugyanolyan reflexív teljesítményt kapjon a tanúsítvány állapotának és weboldal tartalmának megszerzésekor.
Az OCSP tűzés megoldja az OCSP-ketAdatvédelmi problémamert a CA már nem kap visszavonási kérelmeket közvetlenül a klienstől (böngészőtől). A böngésző közvetlenül harmadik féltől származó CA-t (Tanúsítvány Hatóságot) kér,A weboldal látogatói (a CA tudja, mely felhasználók látogatják a weboldalunkat)。 Az OCSP Stapling az OCSP SSL tárgyalási késleltetését is kezeli azáltal, hogy megszünteti a CA válaszadóhoz szükséges külön hálózati kapcsolatot.
Ellenőrizd az OCSP kötést
Két forgatókönyvet kínálunk annak ellenőrzésére, hogy engedélyezve van-e az OCSP kötés.
Online weboldal lekérdezés:A hiperlink bejelentkezés látható., írja be a domain nevet. Ahogy az alábbiakban látható:
OCSP Staple: A jó, az engedélyezett, a nem engedélyezett jelentése.
A parancssorban is lekérdezhetsz az openssl eszközön keresztül, ami a következő:
OCSP válasz:Nem küldött választKépviselők nem engedélyezettek
OCSP válaszállapot:sikeres (0x0)Reprezentatív engedélyezve
Ahogy az alábbiakban látható:
Konfiguráld az OCSP tűzést a Nginx szerveren
Módosítsuk a nginx domain név conf konfigurációs fájlt, hogy a következőket adjuk hozzá a szervercsomóponthoz:
Ne felejtsd el újraindítani az nginx szolgáltatást a konfiguráció befejezése után.
Utalás:
A hiperlink bejelentkezés látható.
A hiperlink bejelentkezés látható.
A hiperlink bejelentkezés látható.
A hiperlink bejelentkezés látható. |
Közzétéve: 2025-11-4 20:22:40
|
|
|
|
