OCSPステープリング とは？

まずOCSPは「この証明書は今も有効ですか？」と認証局に問い合わせるプロトコルだよ。普通はブラウザが毎回直接CAに問い合わせるんだけど、それだと接続が遅くなるし、ブラウザのIPがCAに伝わってしまう問題があるんだ。

Webサーバー自身がCAから定期的にOCSPレスポンスを取得しておいて、ユーザーがアクセスしてきたときのTLSハンドシェイクに「ホチキスで留めるように」一緒に渡すんだ。ブラウザはCAへ問い合わせせずに有効性を確認できるよ。

OCSPレスポンスにはCAのデジタル署名が付いているから、サーバーが改ざんすることは不可能だよ。ブラウザはCAの公開鍵でその署名を検証するから、サーバーが偽のレスポンスを作ることはできないんだ。

あるよ。通常は数時間から数日で期限切れになるから、サーバーは定期的にCAへ取りに行くんだ。もし期限切れのレスポンスしか持っていない場合、ブラウザはフォールバックとして直接CAに問い合わせるか、接続を拒否するかを判断するよ。

CAへの往復通信がなくなるのでハンドシェイクが速くなるよ。特にCAのサーバーが遠い地域にある場合や、CAへの問い合わせが集中しているときに効果が大きいんだ。NginxやApacheでは設定ファイルに数行追加するだけで有効化できるよ。