Vereisten: De website maakt de OCSP-functie mogelijk, OCSP-stapling is een van de HTTPS-optimalisatieoplossingen, die het OCSP-verzoek dat oorspronkelijk door de client in realtime moest worden geïnitieerd doorstuurt naar de server, en het Nginx-servicegebied verkrijgt de OCSP-queryresultaten en stuurt deze samen met het certificaat naar de client, zodat de client het proces van authenticatie kan overslaan en de efficiëntie van de TLS-handshake kan verbeteren. HTTPS-prestaties kunnen worden verbeterd.
OCSP
OCSP (Online Certificate Status Protocol) is een online queryprotocol dat wordt gebruikt om de legitimiteit en geldigheid van certificaten te verifiëren, geleverd door de Digital Certificate Authority (CA). Elke keer dat een gebruiker via HTTPS een website bezoekt, gebruikt de browser een OCSP-query om te verifiëren dat het certificaat van de website geldig is.
Wanneer OCSP-stapelen is ingeschakeld, worden OCSP-query's uitgevoerd door de webserver en cachet het web de queryresultaten naar de server. Wanneer de client de hand schudt met de TLS van de webserver, reageert het web direct op de OCSP-informatie en het certificaat van de client voor clientverificatie, waardoor het niet nodig is om queryverzoeken naar de CA te sturen, wat de efficiëntie van de TLS-handshake aanzienlijk verbetert, gebruikersauthenticatietijd bespaart en de HTTPS-snelheid optimaliseert. Als je de efficiëntie van certificaatstatusverificatie in HTTPS-handshakes wilt verbeteren en de prestaties van websitetoegang wilt verbeteren, kun je OCSP-binding inschakelen.
Zoals te zien is in de volgende figuur:
Online Certificaatstatusprotocol (OCSP)
Het Online Certificate Status Protocol (OCSP) werd ontwikkeld als alternatief voor het Certificate Revocation List (CRL)-protocol. Beide protocollen worden gebruikt om te controleren of een SSL-certificaat is ingetrokken.
Het CRL-protocol vereist dat browsers een groot aantal SSL-certificaatintrekkingsinformatie downloaden: het certificaatserienummer en de laatste releasedatum van elk certificaat. Het probleem met het CRL-protocol is dat het de tijd voor SSL-onderhandelingen kan verlengen.
Het OCSP-protocol elimineert de noodzaak voor browsers om tijd te besteden aan het downloaden en doorzoeken van een lijst met certificaatinformatie. Bij OCSP stuurt de browser simpelweg een query uit om een antwoord te ontvangen van de OCSP-responder (de server van de CA die specifiek naar OCSP-verzoeken luistert en reageert) over de status van de certificaatintrekking.
OCSP-binding
OCSP Stapling kan het OCSP-protocol verbeteren door websitehosts in staat te stellen proactiever te zijn in het verbeteren van de client- (browse-)ervaring. OCSP Stapling stelt de certificaatuitgever (d.w.z. de webserver) in staat om direct de OCSP-responder te bevragen en vervolgens het antwoord te cachen. Het antwoord van deze beveiligde cache wordt vervolgens samen met de TLS/SSL-handshake door de Certificate Status Request-extensie gestuurd, zodat de browser dezelfde responsieve prestaties behaalt bij het verkrijgen van de certificaatstatus en website-inhoud.
OCSP Nietling lost OCSP's opEen privacykwestieomdat de CA geen intrekkingsverzoeken meer rechtstreeks van de client (browser) ontvangt. De browser vraagt rechtstreeks een derde partij CA (Certificaatautoriteit) aan,Bezoekers van de website die worden blootgesteld (de CA weet welke gebruikers onze website bezoeken)。 OCSP Stapling pakt ook de vertraging bij OCSP SSL-onderhandeling aan door de noodzaak van een aparte netwerkverbinding met de CA-responsserver te elimineren.
Controleer de OCSP-binding
Er worden twee scenario's aangeboden om te controleren of OCSP-binding is ingeschakeld.
Online website-aanvraag:De hyperlink-login is zichtbaar., voer de domeinnaam in. Zoals hieronder getoond:
OCSP Staple: Goed betekent ingeschakeld, Niet ingeschakeld betekent niet ingeschakeld.
Je kunt ook een query indienen via de opdrachtregel via de openssl-tool, die als volgt is:
OCSP-reactie:Geen reactie verzondenVertegenwoordigers zijn niet toegestaan
OCSP Responsstatus:succesvol (0x0)Vertegenwoordiger mogelijk
Zoals hieronder getoond:
Configureer OCSP Stapling op de Nginx-server
Wijzig het nginx-domeinnaam conf-configuratiebestand om het volgende toe te voegen aan de servernode:
Vergeet niet de nginx-dienst opnieuw te starten nadat de configuratie is voltooid.
Referentie:
De hyperlink-login is zichtbaar.
De hyperlink-login is zichtbaar.
De hyperlink-login is zichtbaar.
De hyperlink-login is zichtbaar. |
Geplaatst op 4-11-2025 20:22:40
|
|
|
|
