OCSP Stapling e Transparência de Certificados

As Listas de Revogação de Certificados (CRL) são arquivos publicados pelas CA que listam todos os certificados revogados. As CRL apresentam vários problemas: aumentam de tamanho com o tempo, os clientes precisam baixá-las completamente, têm atualização limitada (são publicadas segundo uma programação) e os navegadores historicamente aceitavam os certificados quando o download da CRL falhava, tornando a revogação pouco confiável na prática.

O Protocolo de Status de Certificados Online (OCSP, RFC 6960) permite que os clientes consultem o respondedor OCSP de uma CA em tempo real para saber o estado de revogação de um certificado específico. Uma resposta OCSP informa que o certificado está "válido", "revogado" ou "desconhecido" e é assinada pela CA. Isso é mais eficiente do que baixar uma CRL inteira.

O OCSP padrão apresenta uma falha significativa de privacidade: o cliente precisa contatar o respondedor OCSP da CA com o número de série do certificado consultado, o que revela à CA (ou a um observador da rede) quais sites o usuário está visitando e quando. Isso cria um mecanismo de vigilância que viola a privacidade do usuário no nível da autoridade certificadora.

A anexação do OCSP (RFC 6066) resolve o problema de privacidade fazendo o servidor buscar antecipadamente a resposta OCSP da CA e armazená-la localmente. Durante a negociação TLS, o servidor "anexa" essa resposta armazenada à negociação, entregando-a diretamente ao cliente. O cliente obtém o estado de revogação atualizado sem contatar diretamente a CA.

A configuração da anexação do OCSP no Nginx exige: "ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8;" no bloco do servidor. A diretiva ssl_certificate_by_lua_block ou a diretiva ssl_trusted_certificate fornece a cadeia para verificação. O Apache exige "SSLUseStapling on" no VirtualHost. Ambos os servidores armazenam a resposta localmente e a atualizam antes da expiração.

A extensão X.509 de anexação obrigatória do OCSP (RFC 7633) informa aos navegadores que o servidor deste certificado sempre anexará uma resposta OCSP. Se um navegador se conectar ao servidor e não receber uma resposta anexada, ele rejeitará a conexão. Isso impede que um atacante que possui um certificado revogado bloqueie as respostas OCSP para forçar um comportamento de falha permissiva.

Transparência de certificados (CT) é um sistema no qual todas as CA publicamente confiáveis são obrigadas a registrar cada certificado emitido em registros públicos, auditáveis e aos quais só se pode adicionar conteúdo, antes da entrega do certificado. Esses registros permitem que proprietários de domínios, pesquisadores e sistemas de monitoramento detectem certificados emitidos indevidamente ou obtidos fraudulentamente para qualquer domínio.

Quando uma CA envia um certificado a um registro CT, o registro retorna um Signed Certificate Timestamp (SCT). O SCT é uma promessa assinada criptograficamente de que o certificado foi registrado. Os SCT são incorporados ao próprio certificado, entregues por meio de uma extensão TLS ou anexados à resposta OCSP. O Chrome exige pelo menos dois SCT para confiar no certificado.

O Google Chrome exige Transparência de certificados para todos os certificados TLS publicamente confiáveis desde abril de 2018. Certificados sem SCT válidos são rejeitados pelo Chrome com um erro de certificado. Esse requisito efetivamente impõe o registro no CT por todas as principais CA, pois qualquer CA cujos certificados sejam rejeitados pelo Chrome não pode operar como uma CA pública.

Os registros CT permitem que qualquer pessoa monitore certificados emitidos para seu domínio. Serviços como crt.sh e o Monitor CT do Facebook permitem que proprietários de domínios pesquisem todos os registros CT em busca de certificados que tenham seu domínio nos campos de assunto ou SAN. A emissão não autorizada de certificados (por exemplo, por uma CA comprometida ou por meio de um sequestro de BGP) pode ser detectada em poucas horas.

Os registros CT são operados por várias organizações independentes, incluindo Google (Argon, Xenon), Cloudflare (Nimbus), DigiCert, Sectigo e outras. Vários operadores de registros impedem que uma única entidade suprima um certificado registrado. Os navegadores exigem SCT de registros que estejam em sua lista aprovada, mantendo o controle de qualidade sobre quais registros são confiáveis.

Que problema a anexação do OCSP resolve em comparação com o OCSP padrão?

As CRL são grandes e desatualizadas; o OCSP fornece revogação em tempo real, mas vaza dados de navegação para as CA. A anexação do OCSP entrega o estado de revogação buscado antecipadamente durante a negociação TLS, preservando a privacidade. A extensão de anexação obrigatória do OCSP impede o contorno da falha permissiva. A Transparência de certificados registra todos os certificados emitidos, permitindo detectar certificados emitidos indevidamente por meio de SCT. O Chrome exige CT desde 2018.