{"id":2386,"date":"2024-07-25T08:21:00","date_gmt":"2024-07-25T07:21:00","guid":{"rendered":"https:\/\/jalvo.eu\/lets-encrypt-konczy-ocsp-stapling-na-nginx\/"},"modified":"2024-07-25T08:21:00","modified_gmt":"2024-07-25T07:21:00","slug":"lets-encrypt-konczy-ocsp-stapling-na-nginx","status":"publish","type":"post","link":"https:\/\/jalvo.eu\/pl\/lets-encrypt-konczy-ocsp-stapling-na-nginx\/","title":{"rendered":"Let’s Encrypt ko\u0144czy z OCSP: naprawa OCSP stapling na NGINX"},"content":{"rendered":"\n

Let’s Encrypt og\u0142osi\u0142 23 lipca 2024 r., \u017ce zamierza zako\u0144czy\u0107 obs\u0142ug\u0119 OCSP na rzecz list uniewa\u017cnionych certyfikat\u00f3w. OCSP stapling na NGINX z tymi certyfikatami pr\u0119dzej czy p\u00f3\u017aniej nie b\u0119dzie wi\u0119c mia\u0142 czego do\u0142\u0105cza\u0107. Czy Twoja strona przestanie obs\u0142ugiwa\u0107 TLS? Nie. Ale dyrektywy staplingu w konfiguracji powoli zamieniaj\u0105 si\u0119 w balast. Poni\u017cej: co og\u0142oszono, co to oznacza dla konfiguracji z ssl_stapling<\/code> i co warto ju\u017c teraz sprawdzi\u0107 na w\u0142asnym serwerze.<\/p>\n\n\n\n

Co Let’s Encrypt og\u0142osi\u0142 w sprawie OCSP?<\/h2>\n\n\n\n

W skr\u00f3cie: urz\u0105d certyfikacji chce jak najszybciej odej\u015b\u0107 od protoko\u0142u Online Certificate Status Protocol i przej\u015b\u0107 na listy uniewa\u017cnionych certyfikat\u00f3w. Wed\u0142ug og\u0142oszenia Let’s Encrypt o zast\u0105pieniu OCSP<\/a> urz\u0105d utrzymuje responder OCSP od startu prawie dziesi\u0119\u0107 lat temu, a obs\u0142ug\u0119 CRL doda\u0142 w 2022 roku. Nast\u0119pnie w sierpniu 2023 roku CA\/Browser Forum przyj\u0119\u0142o w g\u0142osowaniu zmian\u0119, po kt\u00f3rej us\u0142ugi OCSP s\u0105 opcjonalne dla publicznie zaufanych urz\u0119d\u00f3w certyfikacji. Zosta\u0142 jeden wyj\u0105tek: Microsoft Root Program.<\/p>\n\n\n\n

Konkretne daty? Jeszcze ich nie ma. Szczeg\u00f3\u0142owy harmonogram pojawi si\u0119, gdy Microsoft r\u00f3wnie\u017c uzna OCSP za opcjonalny, a urz\u0105d liczy, \u017ce nast\u0105pi to w ci\u0105gu najbli\u017cszych sze\u015bciu do dwunastu miesi\u0119cy. Ostatni\u0105 odpowied\u017a chce wys\u0142a\u0107 od trzech do sze\u015bciu miesi\u0119cy po tym, jak opublikuje harmonogram wy\u0142\u0105czenia us\u0142ugi. Aktualizacje b\u0119d\u0105 trafia\u0107 do kategorii API Announcements na forum Discourse projektu. Zapisz si\u0119 tam - to jedyny pewny spos\u00f3b, \u017ceby si\u0119 o tym dowiedzie\u0107.<\/p>\n\n\n\n

CRL a OCSP: dlaczego urz\u0105d zmienia mechanizm<\/h2>\n\n\n\n

OCSP to zapytanie o status pojedynczego certyfikatu wysy\u0142ane do respondera urz\u0119du. CRL to publikowana lista wszystkich certyfikat\u00f3w, kt\u00f3re urz\u0105d uniewa\u017cni\u0142. G\u0142\u00f3wnym powodem zmiany jest prywatno\u015b\u0107. Zapytanie OCSP m\u00f3wi urz\u0119dowi, kt\u00f3ra strona jest odwiedzana i z jakiego adresu IP, a nawet urz\u0105d, kt\u00f3ry celowo nie przechowuje takich zapis\u00f3w, m\u00f3g\u0142by zosta\u0107 prawnie zmuszony do ich gromadzenia. Listy uniewa\u017cnie\u0144 nie maj\u0105 tego problemu, bo klient pobiera ca\u0142\u0105 list\u0119, zamiast pyta\u0107 o jedn\u0105 stron\u0119.<\/p>\n\n\n\n

Drugi pow\u00f3d to zwyk\u0142e utrzymanie. W tym samym og\u0142oszeniu czytamy, \u017ce mo\u017cliwie prosta infrastruktura urz\u0119du ma znaczenie dla zgodno\u015bci z wymogami, niezawodno\u015bci i wydajno\u015bci, \u017ce utrzymywanie OCSP co roku poch\u0142ania\u0142o znaczne zasoby, a sama us\u0142uga sta\u0142a si\u0119 zb\u0119dna, odk\u0105d obs\u0142ugiwane s\u0105 listy CRL. Trudno si\u0119 nie zgodzi\u0107.<\/p>\n\n\n\n

Jak dzi\u015b dzia\u0142a OCSP stapling na NGINX<\/h2>\n\n\n\n

Przy staplingu serwer WWW sam pobiera odpowied\u017a OCSP i do\u0142\u0105cza j\u0105 do uzgadniania TLS. Klient odwiedzaj\u0105cego w og\u00f3le nie musi kontaktowa\u0107 si\u0119 z urz\u0119dem. W NGINX odpowiadaj\u0105 za to trzy dyrektywy: ssl_stapling<\/code>, ssl_stapling_verify<\/code> i ssl_trusted_certificate<\/code>, wszystkie opisane w dokumentacji modu\u0142u ssl nginx<\/a>. Ta strona stawia jeden wym\u00f3g (i to na nim ludzie si\u0119 potykaj\u0105): certyfikat wystawcy musi by\u0107 znany. Je\u015bli wi\u0119c plik ssl_certificate<\/code> nie zawiera certyfikat\u00f3w po\u015brednich, certyfikat wystawcy musi znale\u017a\u0107 si\u0119 w pliku ssl_trusted_certificate<\/code>.<\/p>\n\n\n\n

Typowy blok server dla Let’s Encrypt z w\u0142\u0105czonym staplingiem wygl\u0105da tak:<\/p>\n\n\n\n

server {\n    listen 443 ssl;\n    server_name example.com;\n\n    ssl_certificate         \/etc\/letsencrypt\/live\/example.com\/fullchain.pem;\n    ssl_certificate_key     \/etc\/letsencrypt\/live\/example.com\/privkey.pem;\n\n    ssl_stapling            on;\n    ssl_stapling_verify     on;\n    ssl_trusted_certificate \/etc\/letsencrypt\/live\/example.com\/chain.pem;\n}<\/code><\/pre>\n\n
Co si\u0119 zmienia dla konfiguracji ssl_stapling w nginx<\/h2>\n
Stapling zale\u017cy w ca\u0142o\u015bci od respondera urz\u0119du. Gdy odpowiedzi przestan\u0105 by\u0107 wysy\u0142ane, NGINX nie b\u0119dzie mia\u0142 czego pobra\u0107 ani do\u0142\u0105czy\u0107. W og\u0142oszeniu zaznaczono, \u017ce wi\u0119kszo\u015b\u0107 implementacji OCSP dzia\u0142a w trybie fail open, czyli brak mo\u017cliwo\u015bci pobrania odpowiedzi nie psuje systemu. Twoja strona dalej obs\u0142uguje TLS. Uzgadnianie po prostu odbywa si\u0119 bez do\u0142\u0105czonego statusu.<\/p>\n\n\n\n
W praktyce dyrektywy staj\u0105 si\u0119 martw\u0105 konfiguracj\u0105, kt\u00f3ra mo\u017ce co najwy\u017cej za\u015bmieca\u0107 logi. To porz\u0105dki do zrobienia, a nie sytuacja awaryjna. Jedno sprawdzi\u0142bym jednak w pierwszej kolejno\u015bci: gdzie w Twojej infrastrukturze faktycznie ko\u0144czy si\u0119 po\u0142\u0105czenie TLS? Przy HTTPS za reverse proxy<\/a> ustawienia staplingu mog\u0105 le\u017ce\u0107 na innej maszynie ni\u017c ta, o kt\u00f3rej my\u015blisz w pierwszej chwili.<\/p>\n\n\n\n
Zastosowania poza przegl\u0105dark\u0105 to inna sprawa i wymagaj\u0105 wi\u0119kszej uwagi. Je\u015bli zabezpieczasz tymi certyfikatami na przyk\u0142ad VPN, urz\u0105d radzi upewni\u0107 si\u0119, \u017ce Twoje oprogramowanie dzia\u0142a poprawnie, gdy certyfikat nie zawiera adresu URL OCSP.<\/p>\n\n\n\n
Lista kontrolna: przygotowanie serwera na koniec OCSP<\/h2>\n\n\n\n
Zasadniczo chodzi o to, \u017ceby znale\u017a\u0107 ka\u017cde miejsce, kt\u00f3re polega na OCSP, i zaplanowa\u0107, jak si\u0119 go pozby\u0107. Przejd\u017a te kroki na w\u0142asnym ho\u015bcie:<\/p>\n\n\n\n
    \n
  1. Znajd\u017a dyrektywy.<\/strong> Przeszukaj ka\u017cdy blok server pod k\u0105tem ssl_stapling<\/code> i ssl_stapling_verify<\/code>, tak\u017ce wsp\u00f3\u0142dzielone snippety i pliki do\u0142\u0105czane przez include: grep -rn \"ssl_stapling\" \/etc\/nginx\/<\/code>.<\/li>\n
  2. Obejrzyj certyfikat.<\/strong> Czy nadal zawiera adres URL OCSP? Sprawd\u017a poleceniem openssl x509 -in fullchain.pem -noout -ocsp_uri<\/code>.<\/li>\n
  3. Przetestuj uzgadnianie.<\/strong> Uruchom openssl s_client -connect example.com:443 -servername example.com -status<\/code> i poszukaj sekcji z odpowiedzi\u0105 OCSP, \u017ceby zobaczy\u0107, czy wraca do\u0142\u0105czona odpowied\u017a.<\/li>\n
  4. Przejrzyj monitoring i skrypty wdro\u017ceniowe.<\/strong> Ka\u017cdy test, kt\u00f3ry traktuje brak do\u0142\u0105czonej odpowiedzi jako b\u0142\u0105d, zacznie zg\u0142asza\u0107 fa\u0142szywe alarmy.<\/li>\n
  5. Wska\u017c twarde zale\u017cno\u015bci.<\/strong> Wszystko, co do dzia\u0142ania wymaga odpowiedzi OCSP, potrzebuje planu odej\u015bcia od tej zale\u017cno\u015bci, zgodnie z zaleceniem urz\u0119du, \u017ceby zacz\u0105\u0107 jak najszybciej.<\/li>\n
  6. Zaplanuj usuni\u0119cie.<\/strong> Gdy harmonogram wy\u0142\u0105czenia zostanie opublikowany, usu\u0144 dyrektywy staplingu, uruchom nginx -t<\/code> i prze\u0142aduj konfiguracj\u0119.<\/li>\n
  7. Zapisz si\u0119 na API Announcements.<\/strong> To tam pojawi si\u0119 szczeg\u00f3\u0142owy harmonogram.<\/li>\n<\/ol>\n\n\n\n
    Kt\u00f3re kontrole certyfikatu TLS nadal maj\u0105 znaczenie po zmianie<\/h2>\n\n\n\n
    Sprawdzanie uniewa\u017cnie\u0144 przenosi si\u0119 na stron\u0119 klienta i przegl\u0105darki, przez listy CRL. Na serwerze WWW nie ma tu nic do skonfigurowania. W Twoich r\u0119kach zostaje reszta cyklu \u017cycia certyfikatu:<\/p>\n\n\n\n