Consecuencias del soft-fail de OCSP

Esta página ofrece una visión general de las ventajas y desventajas del mecanismo de soft-fail de OCSP.

Antes de profundizar en los pros y los contras, empecemos por recapitular rápidamente qué significa esta configuración:

Tenga en cuenta: Todos esos ejemplos describen el comportamiento de una autenticación en la que el solicitante tiene un certificado válido (no caducado, emitido por una CA de confianza).

Soft-fail = Activado

Si se produce un problema al consultar al respondedor OCSP, como un tiempo de espera o datos incorrectos, la aplicación trata el estado de revocación del certificado como 'bueno'.

Soft-fail = Desactivado

Si se produce un problema al consultar al respondedor OCSP, como un tiempo de espera o datos incorrectos, la aplicación trata el estado de revocación del certificado como 'revocado'.

Si utiliza OCSP-Autodetect y el certificado del cliente no incluye una URL del respondedor OCSP, la aplicación trata el estado de revocación del certificado como 'revocado'.

Pros y contras

Soft-fail activado

Pros

1. Mayor disponibilidad y menos interrupciones

   • Es menos probable que los usuarios experimenten fallos repentinos de autenticación debido a problemas de red transitorios o a interrupciones temporales del respondedor OCSP.

   • Mejora la experiencia del usuario y reduce las llamadas de soporte relacionadas con problemas de “no se puede conectar” causados únicamente por la conectividad OCSP o por problemas del servicio.

2. Mejor tolerancia a las interrupciones del servicio OCSP

   • Si el proveedor de alojamiento OCSP sufre una caída o problemas relacionados con el certificado, las autenticaciones seguirán teniendo éxito.

3. Impacto mínimo en la continuidad del negocio

   • Especialmente importante en entornos donde el tiempo de inactividad tiene un coste elevado (por ejemplo, infraestructuras críticas, servicios de emergencia o negocios 24/7).

Contras

1. Riesgo de seguridad: se pueden aceptar certificados revocados

   • Un fallo en la verificación del estado de revocación del servidor RADIUS, debido a la no disponibilidad de OCSP u otros problemas, dará lugar a la aceptación de un certificado revocado.

   • Esto socava el modelo de confianza de la autenticación basada en certificados y puede ser explotado si un atacante provoca deliberadamente fallos en OCSP.

2. Falta de visibilidad sobre problemas en todo el sistema

   • Si el sistema omite silenciosamente las comprobaciones de revocación, es posible que los administradores no se den cuenta de inmediato de que un respondedor OCSP está caído o mal configurado, prolongando la ventana de vulnerabilidad.

Soft-fail desactivado

Pros

1. Mayor garantía de seguridad

   • Garantiza que cualquier certificado que no pueda validarse positivamente frente al respondedor OCSP sea rechazado.

   • Protege contra el uso de certificados revocados o comprometidos de otro modo.

2. Señales operativas claras

   • Si la autenticación empieza de repente a fallar, obliga a prestar atención rápidamente a la disponibilidad de OCSP o a los problemas de configuración.

   • Los administradores se dan cuenta de inmediato de cualquier problema de conectividad o de la cadena de confianza porque ningún usuario puede autenticarse a menos que la comprobación OCSP sea correcta.

Contras

1. Punto único de fallo

   • Si el respondedor OCSP está caído, sufre un ataque DDoS, no es accesible o está mal configurado, todas las autenticaciones con certificados válidos fallan.

   • Puede causar una interrupción empresarial significativa y una avalancha de llamadas de soporte.

2. Dependencia de la disponibilidad del servicio OCSP

   • Implica que su servicio OCSP debe tener alta disponibilidad y estar supervisado de forma robusta.

   • Requiere una planificación exhaustiva de la conmutación por error (por ejemplo, varios respondedores OCSP, балансeo de carga o redundancia) para evitar interrupciones masivas.

   • Requiere planificación para actualizar el respondedor

3. Posible frustración para los usuarios

   • Los usuarios no pueden conectarse incluso cuando tienen certificados perfectamente válidos, simplemente porque la comprobación OCSP no puede completarse.