OCSPステープリングとは何ですか、Nginxでそれを有効にする方法は？

OCSPステープリングは、HTTPSハンドシェイクを最適化するテクノロジーであり、サーバーはTLSハンドシェイク中に証明書の取り消しステータス情報を積極的に提供できるようにし、CAのOCSPサーバーを個別に要求するクライアントを避けます。 1.ページの読み込みをスピードアップし、CA圧力を減らし、セキュリティを改善します。 2. Nginxで有効にして、証明書がOCSPをサポートし、証明書チェーンが完了し、NGINXがOpenSSLをサポートしていることを確認します。 3.特定の手順には、証明書チェーンファイルのマージ、SSL_Certificateの構成、SSL_STAPLINGとSSL_STAPLING_VERIFYの電源、およびDNSリゾルバーのセットアップが含まれます。 4.一般的な問題には、クライアントがサポートしていないこと、OCSPアドレスのない証明書、DNSまたはファイアウォール制限、および証明書チェーンが不完全です。 5. SSL Labsテストを介して有効なものが成功し、一部のCDNがデフォルトでサポートされていることを確認できます。

OCSPステープリングは、HTTPSハンドシェイクプロセスを加速するために使用される技術です。これにより、サーバーは、クライアントがオンライン問い合わせのために認証局（CA）に連絡する必要なく、TLSハンドシェイク中にクライアントに証明書の取り消しステータスに関する確認情報を積極的に提供できます。

これにはいくつかの利点があります。ページの読み込みをスピードアップし、CAサーバーの圧力を軽減し、セキュリティを改善します。従来の方法では、クライアントがOCSPサーバーにアクセスできない場合、接続の障害やリスクのダウングレードを引き起こす可能性があるためです。

OCSPステープリングとは何ですか？

OCSP（オンライン証明書ステータスプロトコル）は、SSL/TLS証明書が取り消されたかどうかを確認するために使用されるメカニズムです。 OCSPのステープリングなしでは、ブラウザはCAが提供するOCSPアドレスにアクセスして、それ自体で証明書のステータスを確認します。これにより、追加の遅延が発生します。

OCSPのステープル化を有効にした後、サーバーはブラウザの代わりにOCSP応答を積極的に取得し、TLSハンドシェイク中にクライアントに送信するために独自の応答で「投稿」します。このようにして、クライアントはOCSPサーバーを個別にリクエストし、ネットワークラウンドトリップを保存する必要がなくなります。

この機能はTLSプロトコルの一部であり、クライアントとサーバーの両方がそれをサポートする限り有効にすることができます。

nginxでOCSPステープリングを有効にする方法は？

nginxでOCSPステープルを有効にするには、次の前提条件が必要です。

• SSL証明書はOCSPをサポートする必要があります。
• 完全な証明書チェーン（中間証明書を含む）が必要です。
• nginxは、OpenSSLをサポートし、新しいバージョン（1.3.7以上）を使用するためにコンパイルする必要があります。

ここに特定の手順があります：

• 証明書チェーンが完了していることを確認してください。ドメイン証明書と中間証明書をfullchain.pemなどのファイルにマージします。
• nginx構成でssl_certificateを設定して、この完全な証明書チェーンファイルを指すようにします。
• 次の構成アイテムをサーバーブロックに追加します。

 ssl_stapling on;
ssl_stapling_verify on;
リゾルバー8.8.8.8 8.8.4.4有効= 300S;
Resolver_timeout 5s;

で：

• ssl_stapling on; OCSPステープリングを有効にすることを意味します。
• ssl_stapling_verify on; OCSP応答の妥当性が必要であることを示します。
• resolver 、NGINXがOCSPアドレスを解決するために使用するDNSリゾルバーアドレスを設定します。 Googleの8.8.8.8.8のようなパブリックDNSを使用することをお勧めします。
• resolver_timeout DNSクエリタイムアウト時間を制御します。

よくある質問と予防策

時々、OCSPのステープリングは実際には効果的ではないことがわかり、考えられる理由は次のとおりです。

• クライアントはそれをサポートしていません（一部の古いブラウザなど）。
• 証明書自体には、OCSPアドレス情報が含まれていません。
• Nginxは、ファイアウォールまたはDNSの問題である可能性のあるOCSPサーバーにアクセスできません。
• 完全な証明書チェーンは正しく構成されていません。

それが正常に有効になっているかどうかわからない場合は、 SSLラボなどのオンラインツールを使用してサイトをテストして、「OCSPステープリング」がサポートされていると思われるかどうかを確認できます。

さらに、一部のCDNサービス（CloudFlareなど）では、デフォルトでOCSPステープリングが有効になっているため、手動で構成する必要はありません。

基本的にそれだけです。 OCSPステープリングは複雑ではありませんが、特にウェブサイトのパフォーマンスとセキュリティを追求する際には、簡単に無視できます。構成に数分かかる価値があります。

以上がOCSPステープリングとは何ですか、Nginxでそれを有効にする方法は？の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。