Door Bitwiper: Door Anoniem: OCSP kan je ook uitschakelen. Dat staat bij mij juist bewust op afdwingen: de OCSP check MOET plaatsvinden en succesvol zijn, anders stoppen. De kans dat een doorsnee burger tegen een gelekte private key en gespoofde verbinding aanloopt is misschien klein, maar er worden best veel certificaten ingetrokken - om welke reden dan ook. Gezien mijn werk en interesses sluit ik zeker niet uit dat ik met een targeted attack te maken kan krijgen. Om mijn risico's zo klein mogelijk te houden speel ik geen Russisch Roulette waar ik dat kan vermijden. Ook vind ik het gewoon interessant om te zien hoe goed of hoe slecht OCSP werkt. Vooral de OCSP servers van KPN (managedpki.com) hebben er een tijd een bende van gemaakt voor PKI-Overheid certificaten (bijv. https://www.politie.nl/ werd bij mij regelmatig geblokkeerd in Firefox, en als er een OCSP antwoord kwam, was dat vaak gesigneerd met SHA1 terwijl een SHA2 certificaat werd meegestuurd), maar de laatste tijd lijkt KPN haar zaakjes -op dit ...