- Let’s Encrypt, mümkün olan en kısa sürede OCSP (Online Certificate Status Protocol) desteğini sonlandırıp Certificate Revocation Lists (CRLs) kullanımına geçmeyi planlıyor
- OCSP ve CRLs, sertifika iptal bilgilerini ileten mekanizmalar olsa da CRLs, OCSP'ye göre birçok avantaja sahip
- Let’s Encrypt, 10 yıl önceki lansmanından bu yana OCSP responder hizmeti sunuyordu ve 2022'de CRLs desteğini ekledi
- Bu değişiklik web sitelerini ve ziyaretçileri etkilemeyecek, ancak bazı tarayıcı dışı yazılımlar etkilenebilir
OCSP desteğinin sonlandırılma nedeni
- OCSP, internet gizliliği açısından önemli bir risk oluşturuyor
- OCSP üzerinden sertifika iptal durumu kontrol edildiğinde, sertifika otoritesi (CA) ziyaretçinin belirli IP adresinden hangi web sitesini ziyaret ettiğini anında öğrenebilir
- Let’s Encrypt bu bilgileri kasıtlı olarak saklamıyor, ancak yasal olarak toplamaya zorlanabilir
- CRLs'de bu sorun yok
CA altyapısının sadeleştirilmesi
- Let’s Encrypt'in CA altyapısını mümkün olduğunca sade tutmak önemli
- OCSP hizmetini işletmek çok fazla kaynak tüketiyor ve artık CRLs desteklendiği için OCSP hizmeti gereksiz hale geliyor
CA/Browser Forum kararı
- Ağustos 2023'te CA/Browser Forum, kamuya açık olarak güvenilen CA'ların OCSP hizmetini isteğe bağlı sunabilmesine izin veren bir kararı kabul etti
- Microsoft hariç çoğu root programı artık OCSP'yi zorunlu tutmuyor
- Microsoft Root Program da OCSP'yi isteğe bağlı hale getirirse, Let’s Encrypt OCSP hizmetini sonlandırmak için somut ve hızlı bir takvim açıklamayı planlıyor
OCSP hizmeti bağımlılığının sonlandırılması önerisi
- Hâlen OCSP hizmetine bağımlı olanların bu bağımlılığı mümkün olan en kısa sürede sonlandırma sürecine başlaması gerekiyor
- Let’s Encrypt sertifikalarını kullanarak VPN gibi tarayıcı dışı iletişimi koruyorsanız, sertifikada OCSP URL'si bulunmasa bile yazılımın doğru çalıştığını doğrulamalısınız
- Çoğu OCSP uygulaması "fail open" şeklinde çalışır; bu nedenle OCSP yanıtı alınamazsa sistem durmaz
GN⁺ özeti
- Let’s Encrypt'in neden OCSP desteğini sonlandırıp CRLs kullanımına geçtiğini ve bunun neden önemli olduğunu açıklıyor
- OCSP'nin gizlilik sorunları yaratabileceğini ve CRLs'nin bunu nasıl çözebileceğini vurguluyor
- CA altyapısını sadeleştirme ve kaynak tasarrufu ihtiyacına değiniyor
- CA/Browser Forum kararına ve Microsoft'un gelecekteki planlarına dair beklentiye işaret ediyor
- OCSP hizmetine bağımlı kullanıcılara öneriler sunuyor
2 yorum
CRL'lerde yenileme/senkronizasyon hızı sorunları var ve boyut büyüdükçe arama hızında da sınırlamalar ortaya çıkabiliyor; bu sorunu nasıl çözeceklerini merak ediyorum. Ayrıca diğer sertifika sağlayıcılarına kıyasla Let’s Encrypt'in yönettiği sertifika miktarının çok daha fazla olacağı da tahmin ediliyor.
Hacker News görüşleri
OCSP Watch'ı yaptıktan sonra, CT günlüklerinde sertifikaları ararken CA'nın sertifikayı verdiğini unuttuğu durumların sık sık ortaya çıktığı görüldü
Tüm sertifikalara koşulsuz olarak Must Staple kısıtlaması eklemek iyi olurdu
letsencrypt, 20 yıl önce hayal ettiğimiz topluluk odaklı internet altyapısıdır
Microsoft Root Program, OCSP'yi isteğe bağlı hale getirirse letsencrypt, OCSP hizmetini sonlandırmayı planlıyor
Sertifika yönetimi, insan davranışı ile bilgisayar biliminin kesişiminde yer alan ilginç bir problem
Web sunucularında CRL desteğinin durumu merak ediliyor
Bunun LetsEncrypt kullananlar için ne anlama geldiğini basitçe açıklayabilecek biri olup olmadığı merak ediliyor
Chrome veya Firefox kullanılmıyorsa sertifika iptalinin nasıl kontrol edilebileceği merak ediliyor
ACME, DNS-01 challenge ve OCSP'yi destekleyen ücretsiz veya düşük maliyetli sertifika sağlayıcıları olup olmadığı merak ediliyor
CRL ölçeklenemiyor ve güncellenmesi uzun sürüyor