Door MathFox: Er zit wel een mogelijk informatielek in de "revocation check" Ik ben geen fan van DV (Domain Validated) speelgoedcertificaten (waaronder de gratis en "no questions asked" Let's Encrypt certs) voor websites bedoeld voor bezoek door vreemden, vanwege het gemak waarmee criminelen fake websites kunnen optuigen. Maar als ik me niet vergis is het de bedoeling van Let's Encrypt dat er van OCSP stapling gebruik gemaakt wordt, en dan speelt dit privacyaspect geen rol. Namelijk indien de webserver voor OSCP stapling is geconfigureerd, zal de webserver zelf frequent OSCP requests doen (naar o.a. http://ocsp.int-x3.letsencrypt.org) en het laatste antwoord daarvan meesturen naar jouw browser tijdens het opzetten van de TLS verbinding (vaak direct nadat de server het certificaat naar de browser heeft gestuurd). Voor zover ik weet is het dus alleen zo dat als iemand zijn/haar webserver bewust anders geconfigureerd heeft, en jouw webbrowser geconfigureerd is om OCSP requests te verzenden, dat een Let's ...