Let's Encrypt trekt stekker uit Online Certificate Status Protocol-service

"Vandaag hebben we onze Online Certificate Status Protocol (OCSP)-dienst uitgeschakeld, zoals vorig jaar december aangekondigd. We zijn meer dan 90 dagen geleden gestopt met het opnemen van OCSP-URL's in onze certificaten, dus alle Let’s Encrypt-certificaten die OCSP-URL's bevatten, zijn nu verlopen. Vanaf nu zullen we uitsluitend intrekkingsinformatie publiceren via Certificate Revocation Lists (CRLs)", meldt Let's Encrypt.

Privacyrisico

Let's Encrypt zegt de stap te hebben genomen met het oog op de privacy van internetgebruikers. "We hebben de ondersteuning voor OCSP vooral beëindigd omdat het een aanzienlijk risico voor de privacy op het internet vormt. Wanneer iemand een website bezoekt met een browser of andere software die de intrekking van certificaten via OCSP controleert, wordt de Certificate Authority (CA) die de OCSP-responder bedient onmiddellijk op de hoogte gebracht van welke website wordt bezocht vanaf het specifieke IP-adres van die bezoeker. Zelfs wanneer een CA deze informatie bewust niet bewaart, zoals het geval is bij Let’s Encrypt, kan deze per ongeluk worden bewaard of kunnen CA's juridisch verplicht worden om deze te verzamelen. CRLs hebben dit probleem niet."

Meer informatie is hier te vinden.