上周四下午，各地的 Mac 用户开始抱怨打开应用程序时速度严重减慢。原因：每次用户打开不是从 App Store 下载的应用程序时，Apple 都会执行在线证书检查。对 Big Sur 的大规模升级似乎导致负责这些检查的 Apple 服务器缓慢到爬行。
Apple 很快解决了这个问题，但对 Mac 瘫痪的担忧很快就被更大的担忧所取代——每次用户打开一个没有执行证书检查的 Mac 时，Apple 和其他人可能会收集到大量的个人数据。来自 App Store。
对于了解幕后发生的事情的人来说，几乎没有理由将证书检查视为隐私攫取。不过，可以肯定的是，苹果周一发表了一篇支持文章，应该可以平息任何挥之不去的担忧。稍后会详细介绍——首先，让我们备份并提供一些背景知识。
认识 OCSP
在 Apple 允许应用程序进入 App Store 之前，它必须首先通过审查其安全性的审查。用户可以配置称为 Gatekeeper 的 macOS 功能以仅允许这些已批准的应用程序，或者他们可以选择也允许安装第三方应用程序的设置，只要这些应用程序使用 Apple 颁发的开发者证书签名。为确保证书未被撤销，macOS 使用 OCSP(行业标准在线证书状态协议的缩写)来检查其有效性。
检查证书的有效性 - 任何证书 - 对网站或软件进行身份验证听起来很简单，但长期以来它在整个行业中都存在不易解决的问题。最初的方法是使用证书吊销列表，但随着列表的增长，它们的大小阻碍了它们的有效工作。CRL 让位于 OCSP，后者在远程服务器上执行检查。
事实证明，OCSP 有其自身的缺点。服务器有时会出现故障，当它们出现故障时，OCSP 服务器中断有可能使数百万试图执行诸如访问站点、安装应用程序和查看电子邮件等操作的人瘫痪。为了防止这种危险，OCSP 默认采用所谓的“软故障”。OCSP 不会阻止正在检查的网站或软件，而是在服务器没有响应的情况下，就好像证书有效一样。
不知何故，周四大量升级到 Big Sur 的人似乎导致 ocsp.apple.com 上的服务器过载但并未完全崩溃。服务器无法提供全部清除，但它也没有返回会触发软失败的错误。结果是大量 Mac 用户陷入困境。
Apple 解决了 ocsp.apple.com 的可用性问题，大概是通过添加更多服务器容量。通常情况下，这应该是问题的结束，但事实并非如此。很快，社交媒体上充斥着声称 macOS 应用程序审查过程正在将 Apple 变成一个老大哥，每当用户打开或重新打开任何不是从 App Store 下载的应用程序时，它都会跟踪时间和位置。
偏执严重
你的电脑不是你的帖子是引起大众关注的催化剂之一。它指出 OCSP 执行的简单 HTML 获取请求未加密。这意味着 Apple 不仅能够根据我们每分钟的 Mac 使用情况来构建配置文件，而且 ISP 或其他任何可以查看通过网络传输的流量的人也可以。(为了防止陷入无限的身份验证循环，几乎所有 OCSP 流量都未加密，尽管响应是数字签名的。)
幸运的是，像这样不那么危言耸听的帖子提供了更有帮助的背景。传输的哈希值并不是应用程序本身独有的，而是 Apple 颁发的开发者证书。这仍然允许人们推断何时使用 Tor、Signal、Firefox 或 Thunderbird 等应用程序，但它仍然没有许多人最初假设的那么精细。
更重要的一点是，在大多数方面，ocsp.apple.com 收集的数据与我们每次访问网站时已经通过 OCSP 实时传输的信息没有太大区别。可以肯定的是，存在一些差异。Apple 看到所有未从 App Store 下载的 Mac 应用程序的 OCSP 请求，这大概是一个巨大的数字。OCSP 对其他数字签名软件的请求会发送到成百上千个不同的证书颁发机构，通常只有在安装应用程序时才会发送。
简而言之，结论是一样的：OCSP 潜在的隐私损失是我们为了检查验证我们想要访问的网站或我们想要访问的软件的证书的有效性而做出的权衡安装。
标签：
免责声明：本文由用户上传，如有侵权请联系删除！