Let’s Encrypt подобрява неприкосновеността на личния живот онлайн

Let’s Encrypt официално обяви прекратяването на поддръжката на протокола за онлайн състояние на удостоверенията (OCSP) и пълното преминаване към списъци за отмяна на удостоверения (CRL). Новият подход ще осигури по-голяма защита на личните данни и ще опрости инфраструктурата на удостоверяващия орган.

Ключовите промени ще започнат на 30 януари следващата година. От тази дата исканията за издаване на удостоверения с разширението OCSP Must Staple ще бъдат отказвани, ако даден акаунт не е използвал преди това удостоверения с това разширение. До 7 май препратките към CRL ще се появяват във всички удостоверения, а поддръжката на OCSP ще бъде премахната. От 7 май всички заявки с OCSP Must Staple ще спрат да се обработват, включително подновяванията на сертификати. Пълното деактивиране на OCSP отговорителите е планирано за 6 август.

Let’s Encrypt отбеляза, че CRL има значителни предимства пред OCSP. Използването на CRL елиминира събирането на данни за посетените сайтове и IP адресите на потребителите, което прави CRL по-конфиденциално решение.

От друга страна, OCSP крие риск от изтичане на данни дори в случаите, когато центърът за удостоверяване не запазва информацията умишлено, тъй като данните могат да бъдат поискани въз основа на законови разпоредби. От самото си създаване Let’s Encrypt използва OCSP, но поддръжката му изискваше много ресурси. През 2022 година организацията добави поддръжка за CRL, като премахна стария протокол. CRL вече се поддържа широко от браузърите, не изисква сложна конфигурация на сървъра и осигурява висока степен на поверителност.

Поддръжката на разширението OCSP Must Staple, което подобри поверителността и сигурността, но не беше широко прието от браузърите, също се прекратява. Освен това използването на OCSP Must Staple на сървърите е свързано с рискове от прекъсване на работата.

Поради предстоящите промени на потребителите се препоръчва предварително да се уверят, че софтуерът функционира правилно без поддръжка на OCSP. Това е особено важно за собствениците на VPN мрежи и други системи, които не са базирани на браузъри и използват сертификати Let’s Encrypt. Предоставен е архив със списък на сертификати, за да се провери използването на OCSP Must Staple.