OCSP Stapling: Optimierung der Zertifikatsvalidierung

Serverseitiges OCSP bei der Zertifikatsvalidierung: Weniger Traffic, mehr Privacy und erhöhte Effizienz – ein Schritt in Richtung zukunftsweisender Web-Sicherheit. 

Ein gültiges SSL-Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert wurde, ist heute für Websites unabdingbar. Browser verwenden das Online Certificate Status Protocol (OCSP), um die Gültigkeit gemäss Standard X.509 in Echtzeit zu überprüfen. Die laufende Optimierung der Zertifikatsvalidierung ist daher ein zentraler Aspekt der Web- und Netzwerksecurity. Eine effektive Methode dafür ist das sogenannte serverseitige OCSP (auch bekannt als OCSP Stapling). Es ermöglicht dem Webserver die Zertifikatsvalidierung vom Browser (Client) zu übernehmen und die Anforderung an den OCSP-Responder zu stellen. Der Server bettet dann die OCSP-Antwort in den SSL/TLS-Handshake ein und übergibt sie zusammen mit dem Zertifikat an den Client. Im Vergleich zur clientseitigen Validierung bietet dies mehrere Vorteile: 

1. Reduzierter Traffic und gesteigerte Performance:

Durch OCSP Stapling wird der Datenverkehr zwischen den Clients und den Zertifizierungsstellen erheblich reduziert. Die reduzierte Serverlast führt zu einer verbesserten Leistung, insbesondere bei grossen Trafficvolumina. Ein herausragendes Beispiel ist Let’s Encrypt, das beeindruckende 100.000 OCSP-Anfragen pro Sekunde bewältigen muss.

2. Verbesserte Client Privacy:

Wenn die Zertifikatsvalidierung serverseitig durchgeführt wird, haben die Zertifizierungsstellen keinen Einblick mehr in die URLs, die von den Clients aufgerufen werden. Dies trägt zur Wahrung der Privatsphäre der Benutzer bei. 

Implementierung und Auswirkungen 

Die Implementierung von OCSP Stapling ist relativ unkompliziert. Der Webserver extrahiert die OCSP-URL aus dem Zertifikat und überprüft regelmässig, ob das Zertifikat nicht revoziert wurde. Diese Information wird dann an den Client weitergegeben, der daraufhin keine weitere OCSP-Prüfung durchführt. Früher wurden OCSP-Stapling-Anfragen bei uns standardmässig über den Proxy-Out abgewickelt. Dies führte jedoch bei CDN-Ausfällen vereinzelt zu Störungen. Daher werden diese Anfragen nun direkt gestellt – ohne Umweg über einen Proxy – um Stabilität und Zuverlässigkeit zu erhöhen. Unsere ersten Implementierungen in der Infrastruktur haben zudem gezeigt, dass mehr Komponenten beteiligt sind als ursprünglich vermutet. Insbesondere auf den WAFs führte das Zusammenspiel mit dem Apache HTTP Server zu reduzierter Verfügbarkeit. Da bei geschäftskritischer Infrastruktur die Verfügbarkeit oberste Priorität hat, setzen wir OCSP Stapling auf den WAFs nur noch auf ausdrücklichen Kundenwunsch um. 

OCSP Stapling mit Augenmass nutzen 

OCSP Stapling kann die Performance und Sicherheit der Zertifikatsvalidierung deutlich verbessern. Die Praxis zeigt jedoch, dass seine Implementierung technische Feinheiten birgt – gerade in komplexen Hosting-Umgebungen. Wir empfehlen daher eine bedarfsgerechte Einführung und individuelle Prüfung je nach Systemarchitektur.