Cos’è OCSP Stapling e quali vantaggi in termini di velocità per un sito web ?

La sicurezza delle comunicazioni è un tema di fondamentale importanza, soprattutto in un’epoca in cui le informazioni vengono scambiate su internet a ritmi sempre più elevati. La crittografia a chiave pubblica è una tecnologia che gioca un ruolo fondamentale nella protezione delle informazioni scambiate su internet.

La crittografia a chiave pubblica, nota anche come crittografia asimmetrica, utilizza due chiavi diverse per cifrare e decifrare le informazioni: una chiave pubblica e una chiave privata. La chiave pubblica è accessibile a chiunque, mentre la chiave privata è nota solo al proprietario della chiave. Ciò consente di proteggere le informazioni scambiate sulle reti pubbliche come internet, impedendo a chiunque di decifrare i messaggi senza la chiave privata.

Uno dei modi più comuni per utilizzare la crittografia a chiave pubblica è attraverso il protocollo HTTPS. HTTPS utilizza la crittografia SSL/TLS per proteggere la comunicazione tra un server web e un browser, rendendo difficile per gli hacker intercettare e decifrare le informazioni scambiate tra il sito web e il browser. HTTPS è essenziale per la protezione dei dati sensibili come le informazioni di pagamento e le credenziali degli utenti.

HTTPS (HyperText Transfer Protocol Secure) è una versione sicura del protocollo HTTP utilizzato per la comunicazione tra un server web e un browser. HTTPS utilizza crittografia SSL/TLS (Secure Sockets Layer/Transport Layer Security) per proteggere la privacy e la sicurezza delle informazioni scambiate tra il server web e il browser.

Un certificato SSL (Secure Sockets Layer) è un file di dati che viene utilizzato per autenticare l’identità del sito web e criptare le informazioni scambiate tra il server web e il browser. Il certificato SSL contiene informazioni come il nome del dominio del sito web, la data di scadenza e la chiave pubblica del sito web.

Il certificato SSL viene rilasciato da una Certificate Authority (CA), un’organizzazione che garantisce l’autenticità del sito web e la validità del certificato SSL. Quando un browser accede a un sito web protetto da HTTPS, verifica la validità del certificato SSL del sito web e se è valido, stabilisce una connessione sicura con il server web utilizzando la crittografia SSL/TLS.

In poche parole, HTTPS e un certificato SSL sono essenziali per garantire la sicurezza e la privacy delle informazioni scambiate tra un sito web e un browser. Proteggono contro il furto di informazioni sensibili, gli attacchi informatici e garantiscono l’autenticità del sito web.

Il protocollo Online Certificate Status Protocol (OCSP) è un meccanismo utilizzato per verificare se un certificato SSL/TLS è stato revocato o meno. In pratica, ogni volta che un browser si connette a un sito web protetto da SSL/TLS, il certificato viene verificato per garantire che non sia stato revocato. Questo processo può richiedere del tempo, in quanto il browser deve contattare il server OCSP per verificare lo stato del certificato.

Per ridurre il tempo di connessione e migliorare la velocità di caricamento del sito web, è stato sviluppato il meccanismo di OCSP stapling. In questo articolo esploreremo cos’è l’OCSP stapling e quali vantaggi può offrire in termini di velocità per un sito web.

Cos’è OCSP ed a cosa serve ?

Online Certificate Status Protocol (OCSP) è un protocollo di sicurezza utilizzato per verificare lo stato di validità di un certificato digitale SSL/TLS. Il protocollo permette di verificare la validità di un certificato digitale in tempo reale, senza dover fare affidamento su una lista di revoca dei certificati (CRL).

Tradizionalmente, per verificare la validità di un certificato digitale, veniva utilizzata una CRL che contiene l’elenco dei certificati revocati. Il problema con questa soluzione è che la CRL deve essere regolarmente aggiornata, il che può essere un problema quando si gestiscono grandi quantità di certificati. Inoltre, l’accesso alla CRL richiede una connessione di rete, il che può rallentare la verifica dei certificati.

OCSP risolve questi problemi consentendo ai client di richiedere lo stato di validità di un certificato digitale direttamente al server OCSP, che risponde con lo stato del certificato. Questo processo è noto come OCSP Stapling.

In pratica, quando un browser accede a un sito web protetto da SSL/TLS, il server invia anche una risposta OCSP insieme al certificato. In questo modo, il browser può verificare immediatamente lo stato di validità del certificato senza dover effettuare una connessione aggiuntiva al server OCSP.

Cos’è l’OCSP stapling?

L’OCSP stapling è un meccanismo che consente al server web di inviare la risposta di verifica dello stato del certificato SSL/TLS direttamente al browser, eliminando la necessità di contattare il server OCSP. In pratica, il server web “stapla” la risposta OCSP alla connessione SSL/TLS, eliminando il bisogno per il browser di effettuare una richiesta OCSP separata.

In altre parole, il server web che ospita il sito web aggiorna regolarmente la risposta OCSP per il certificato SSL/TLS e “stapla” (ovvero pinza) questa risposta nella risposta HTTPS durante il processo di handshake SSL/TLS. In questo modo, il browser riceve la risposta OCSP insieme alla risposta HTTPS, eliminando la necessità di una richiesta OCSP separata.

Quali vantaggi offre l’OCSP stapling?

L’OCSP stapling offre numerosi vantaggi in termini di velocità e sicurezza per un sito web. Ecco alcune delle principali ragioni per cui l’OCSP stapling è diventato sempre più popolare tra i proprietari di siti web:

Migliora la velocità di caricamento del sito web

Come accennato in precedenza, l’utilizzo di OCSP stapling può ridurre significativamente il tempo di connessione e migliorare la velocità di caricamento del sito web. Poiché il browser non deve contattare il server OCSP separatamente per verificare lo stato del certificato, l’OCSP stapling riduce il numero di richieste di rete necessarie per stabilire una connessione SSL/TLS. Ciò significa che il sito web viene caricato più velocemente, migliorando l’esperienza dell’utente.

Sebbene il guadagno ottenuto possa sembrare davvero esiguo, dai nostri benchmark su connessioni 100 megabit abbiamo avuto un miglioramento indicativo di 10 – 15 ms, è anche vero che in casi di ottimizzazioni molto spinte e maniacali (come avviene ad esempio in tutti i nostri clienti con prodotti editoriali) risparmiare 10 – 15 ms, porta ad avere un tempo di risposta all’interno del Browser inferiore ai 40ms laddove ne servivano 60ms.

Sebbene possa essere una feature trascurata e trascurabile quando ci si trova con TTFB maggiori di 60ms, è vero che insieme al protocollo QUIC diventa la ciliegina sulla torta per abbassare ancora maggiormente la latenza delle risposte delle Certification Authority di cui possiamo vederne le principali nel grafico sopra.

Protegge contro gli attacchi OCSP

L’utilizzo di OCSP stapling protegge anche il sito web da attacchi OCSP. Poiché la risposta OCSP viene inviata direttamente dal server web al browser, non è possibile attaccare il server OCSP utilizzando attacchi di tipo man-in-the-middle o attacchi di tipo denial-of-service (DoS) per interrompere le risposte OCSP.

Riduce la latenza di connessione

Infine, l’utilizzo di OCSP stapling riduce anche la latenza di connessione. Poiché la risposta OCSP viene “stapled” (ovvero pinzata) alla connessione SSL/TLS, il browser riceve la risposta OCSP insieme alla risposta HTTPS durante il processo di handshake. Questo significa che la risposta OCSP è già pronta e disponibile quando il browser deve verificare lo stato del certificato, riducendo il tempo di latenza tra la richiesta del browser e la risposta del server.

Come implementare l’OCSP stapling sul sito web?

L’implementazione dell’OCSP stapling dipende dal server web utilizzato per ospitare il sito web. Tuttavia, la maggior parte dei server web supporta l’OCSP stapling, compresi Apache, Nginx, IIS e altri. In generale, l’implementazione dell’OCSP stapling comporta due passaggi principali:

1. Abilitare l’OCSP stapling sul server web

Il primo passaggio consiste nell’abilitare l’OCSP stapling sul server web. In genere, ciò richiede l’aggiunta di una riga di configurazione al file di configurazione del server web. Ad esempio, se si utilizza Apache, è possibile abilitare l’OCSP stapling aggiungendo la seguente riga al file di configurazione:

SSLUseStapling on

2. Verificare che l’OCSP stapling sia funzionante

Il secondo passaggio consiste nella verifica che l’OCSP stapling sia funzionante sul sito web. Ciò può essere fatto utilizzando strumenti online di verifica della connessione SSL/TLS, come SSL Labs. Questi strumenti forniscono informazioni dettagliate sulla configurazione della connessione SSL/TLS, compresa l’attivazione dell’OCSP stapling.

Tutti i nostri webserver sono configurati per supportare OCSP Stapling e le migliori tecnologie di accelerazione web di fascia Enterprise.