OCSP ve OCSP Stapling nedir?

Kısa cevap

OCSP (Online Certificate Status Protocol), bir sertifikanın süresi dolmadan revoke edilip edilmediğinin, sertifikayı veren CA'nın OCSP responder'ına sorulduğu protokoldür (RFC 6960). İstemcinin her bağlantıda CA'ya sorması gecikme ve gizlilik sorunu yarattığı için OCSP Stapling'de bu sorguyu sunucu periyodik olarak yapar ve CA'nın imzaladığı güncel yanıtı TLS handshake'e ekler; istemci CA'ya ayrıca sormaz. TR7'de TLS Security Profile'daki OCSP Stapling açıldığında vService, sertifikasının OCSP yanıtını CA'nın OCSP servisinden alıp handshake'e ekleyecek şekilde yapılandırılır; yanıt alınamazsa sertifika yanıtsız sunulmaya devam eder.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Certificates & PKI → TLS Security Profiles → Frontend-only Settings	OCSP Stapling (varsayılan kapalı)	OCSP yanıtını istemciyle yapılan TLS handshake'ine ekleme; profil HTTP ya da L7 TCP vService'in SSL Security alanında seçilir

OCSP yanıtının alınabilmesi için sertifikanın AIA extension'ında bir OCSP adresi taşıması ve TR7'nin bu adrese erişebilmesi gerekir; gereksinimler ve doğrulama OCSP Stapling destekleniyor mu? sayfasındadır.

Nasıl Çalışır?

1. Sunucu, sertifikasındaki OCSP adresine sertifikanın durumunu sorar.
2. CA'nın responder'ı, durumu (good, revoked, unknown) ve geçerlilik süresini içeren imzalı bir yanıt döndürür.
3. Sunucu bu yanıtı saklar ve handshake'te istemciden gelen status_request isteğine karşılık sertifikayla birlikte gönderir (RFC 6066).
4. İstemci yanıtın CA imzasını doğrular; yanıt geçerlilik süresi dolmadan sunucu tarafından yenilenir.

Sık Karıştırılan Noktalar

• "OCSP Stapling revoke edilmiş sertifikayı değiştirir." Yalnızca sertifikanın durum kanıtını sunar; revoke edilen sertifikanın yenisiyle değiştirilmesi gerekir.
• "OCSP responder'a ulaşılamazsa bağlantılar kesilir." Yanıt alınamadığında sertifika yanıtsız sunulur; bağlantılar kurulmaya devam eder.
• "OCSP Stapling istemci sertifikalarını da denetler." Ayar, vService'in kendi sertifikası için yanıt sunar; mTLS'te istemci sertifikalarının OCSP ile denetlenmesi bu ayarın kapsamında değildir.

Dokümantasyonda nasıl yapılır

• TLS Security Profiles · OCSP Stapling
• TLS Security Profiles · Ayarların Uygulandığı Yerler

İlgili sorular

• OCSP Stapling destekleniyor mu?
• Certificate revocation nedir?
• AIA (Authority Information Access) nedir?