02-12-2014, 14:00 door Anoniem: Aan de andere kant lees je ook dat het OSCP protocol zelf niet veilig is doordat het in plain text over het net gaat, dus de juistheid van het antwoord op deze check niet bepaald geheel gegarandeerd is.Het antwoord van de OCSP server is digitaal ondertekend waardoor een aanvaller de inhoud niet "zomaar" kan wijzigen, daar hoef je je geen zorgen over te maken. Het verreweg grootste risico is hier dat het antwoord jouw browser niet bereikt, en jouw browser vervolgens de schouders ophaalt door ervan uit te gaan dat het certificaat waarschijnlijk toch niet is ingetrokken. Wel sneu voor je als een MitM aanvaller, die jouw private key gestolen heeft, daar nou net vanuit gaat en het hele OCSP antwoord tegenhoudt (of de aanvraag, of de DNS aanvraag/antwoord). Statistisch gezien is het "schouderophalen" wellicht een correct besluit. Vergelijkbaar met de anekdote van de statisticus die niet kon zwemmen, maar toch vol zelfvertrouwen door de revier van gemiddeld 1 meter diepte waadde. ...