Лэнгли считает этот подход в современных условиях крайне неэффективным. Так, доверенный центр сертификации может быть не доступен браузеру. Например, такая ситуация возникает при web-аутентификации доступа в Интернет, используемой в беспроводных сетях (hotspots) - портал доступа (captive portal) блокирует все ресурсы (в том числе и запросы к CA-серверам), кроме собственного HTTPS-сайта с формой ввода учетных данных. При недоступности сервиса проверки сертификата большинство браузеров игнорируют сбой и продолжают считать сертификат валидным. При совершении атаки злоумышленники могут воспользоваться данной особенностью и блокировать доступ пользователя к online-службам проверки сертификатов.

Другой проблемой является то, что OCSP/CRL проверки даже при доступности сервиса занимают достаточно много времени, что приводит к ощутимым задержкам при открытии сайта (до 1 секунды). Кроме того, такие проверки негативно отражаются на приватности, так как раскрывают третьей стороне факт открытия определённого сайта (CA получает IP пользователя и имя домена).

В качестве выхода разработчики Chrome предлагают использовать периодически обновляемый статический список отозванных сертификатов, встроенный в браузер. Обновление списка отозванных сертификатов может осуществляться совместно с обновлением других компонентов браузера, что не внесет существенные риски в безопасность, но сможет повысить комфортность работы в Интернет для простых пользователей. В Google разрабатывают механизм обновления списка отозванных сертификатов без необходимости перезапуска Chrome.

Источник »
Главная ссылка к новости »