OCSP Stapling (die TLS Certificate Status Request Extension) ermöglicht einem Server, eine OCSP-Antwort von der Zertifizierungsstelle abzurufen und zu speichern, dann an Clients während des TLS-Handshakes zu senden (diese "zu heften"). Dies eliminiert die Notwendigkeit des Clients, eine separate Anfrage zu stellen, um den Zertifikatssperrstatus zu überprüfen.
Normalmente würden Clients den OCSP-Responder unabhängig abfragen, um zu überprüfen, dass das Zertifikat nicht widerrufen ist. Dies fügt Latenz und externe Abhängigkeiten hinzu. Mit Stapling führt der Server die OCSP-Prüfung einmalig durch und bündelt die signierte Antwort mit der Zertifikatskette, wodurch der Handshake beschleunigt und ein potenzieller Fehler beseitigt wird.
Funktionsweise:
- Server fordert regelmäßig eine OCSP-Antwort von der CA an (z. B. alle paar Tage).
- Server speichert die Antwort und enthält sie im TLS-Handshake (
status_requestExtension). - Client validiert die zwischengespeicherte OCSP-Antwort während des Handshakes – keine separate Abfrage erforderlich.
- Wenn die Antwort abläuft, holt der Server eine neue Antwort von der CA.
Vorteile:
- Schnellere TLS-Handshakes (keine blockierende OCSP-Abfrage).
- Reduzierte Last auf OCSP-Respondern.
- Besserer Datenschutz – OCSP-Abfragen werden vom CA-Server nicht protokolliert.
- Verbesserte Zuverlässigkeit, wenn der OCSP-Responder vorübergehend nicht verfügbar ist.
TipStellen Sie sicher, dass Ihr Server so konfiguriert ist, dass OCSP-Antworten regelmäßig aktualisiert werden (normalerweise alle 24–48 Stunden vor Ablauf), um zu vermeiden, dass veraltete Sperrdaten bereitgestellt werden.
Stapling wird mittlerweile von modernen Browsern und Servern weit unterstützt und gilt als Best Practice für HTTPS-Bereitstellungen.