0

Влияет ли тип сертификата (DV, EV) и кто его выдал на скорость соединения?

Особенно интересует момент обращения к сертификационному центру в процессе рукопожатия (handshake). Имеют ли более дорогие сертификаты или сертификаты с расширенной проверкой приоритет на соединение или это никак не влияет на скорость?

4
  • 2
    лишние обращение к "сертификационному центру" замедляют работу. Также замедляют работу длинные цепочки доверенных сертификатов (если нет вложенных корневых). Также может влиять размер ключа (дольше проверять). Цена сертификата влияет в основном на ЧСВ.
    – KoVadim
    10 янв 2018 в 13:59
  • 1
    А разве идет обращение к сертификационному центру во время рукопожатия? Идет проверка на доверенный сертификат в локальном хранилище доверенных сертификатов. К центру обращаются разве что за revocation list.
    – Zergatul
    10 янв 2018 в 16:41
  • Во время хендшейка можно обратить внимание на размер сертификата. Чем больше в нем информации, тем он больше весит. Если Вы уже знаете, что хендшейк - то самое место, которое тормозит работу, то вопрос может быть актуален. У вас есть такие замеры производительности, допустим, хотя бы на паре тысяч одновременных соединений к Вашему серверу (было бы интересно взглянуть на статистику: чтобы был выделен хендшейк и хотя бы одна полезная функция сервера, чтобы их можно было сопоставить - оценить затраты)?
    – mega
    10 янв 2018 в 17:31
  • @mega в том то и дело, что таких данных нет) интересно, может кто-то уже делал подобные тесты, какие были результаты производительности. эту проблему отчасти решает OCSP Stapling, но при первом обращении все равно идет запрос к удостоверяющему центру. 10 янв 2018 в 19:55

1 ответ 1

4

@mega в том то и дело, что таких данных нет) интересно, может кто-то уже делал подобные тесты, какие были результаты производительности. эту проблему отчасти решает OCSP Stapling, но при первом обращении все равно идет запрос к удостоверяющему центру.

Раз таких данных нет, то могу Вас заверить, что на современных ОС тип сертификата не может существенно влиять на скорость соединения клиента с Вашим сервером.

Чтобы появилось такое влияние, надо по крайней мере отключить кеширование SSL сессий на стороне клиента или сервера (которое криптопровайдеры обычно включают по-умолчанию).

При включенном кешировании, после первого хендшейка, на протяжении нескольких часов (10 на последних версиях windows) либо пока не будут завершены процессы клиента/сервера, между 2мя хостами работает "укороченный хендшейк", в котором сертификат и ключ не посылаются вообще, т.к. используется master secret, сгенерированный сессией-инициатором (первой сессией, которая провела полноценный хендшейк).

The client sends a ClientHello using the Session ID of the session to
be resumed. The server then checks its session cache for a match.  If
a match is found, and the server is willing to re-establish the
connection under the specified session state, it will send a
ServerHello with the same Session ID value. At this point, both
client and server must send change cipher spec messages and proceed
directly to finished messages. Once the re-establishment is complete,
the client and server may begin to exchange application layer data.

Соответственно, влияние типа или размера сертификата на скорость соединения может проявиться только в том случае, если география подключений к Вашему серверу достаточно разнообразна (много unique visitor), либо Ваш сервер реализует какую-то основную функцию с одним запросом: допустим, клиент имеет список Ваших типичных серверов (распределенных по сети), которые он выборочно опрашивает с очень небольшой периодичностью.


Подробности по кешированию сессий можно узнать в rfc на любой современный протокол TLS (rfc2246#appendix-F.1.4 для tlsv1.0, например).

У Microsoft можно посмотреть статью How to configure Secure Sockets Layer server and Client cache elements для получения дополнительных сведений по настройкам кеширования клиента/сервера в разных версиях windows.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.