Влияет ли тип и производитель сертификата SSL на скорость соединения?

Question

[Дмитрий Масленников]

Влияет ли тип сертификата (DV, EV) и кто его выдал на скорость соединения?

Особенно интересует момент обращения к сертификационному центру в процессе рукопожатия (handshake). Имеют ли более дорогие сертификаты или сертификаты с расширенной проверкой приоритет на соединение или это никак не влияет на скорость?

Answer 1

[Александр Юдаков]

К сертификационному центру возможны следующие обращения:

1. Будет, в 99% случаев, обращение для проверки отзыва сертификата. По какому именно адресу будет обращение — указано в самом сертификате (либо это файл CRL, либо сервис OCSP). Здесь — чем больше распространен издатель сертификата, тем больше шансов, что на клиентском устройстве уже закэширована информация о DNS издателя, а, может быть, даже и сам файл CRL (он может быть большим и существенно влиять на время загрузки на мобиле, к примеру). При OCSP данные не кэшируется, зато трафик маленький.

2. Если у клиента нет сертификата издателя - промежуточного центра сертификации (того, что непосредственно подписал наш сертификат), будет еще один запрос — по адресу, указанному в "Доступ к информации о центрах сертификации". Здесь тоже - чем шире известность издателя, тем лучше. Вероятность этого запроса невелика, поскольку кэшируются такие сертификаты в клиентских устройствах, как правило, навсегда.

3. И дальше история повторяется: проверяется сертификат промежуточного центра сертификации на отзыв по той же схеме. Поэтому, желательно, чтобы в цепочке было не более 3-х элементов от корня до конечного сертификата (меньше 3-х - на практике нереально).

4. Корневые сертификаты не проверяются.

P.S. Степень "зелености" сертификата на скорость не влияет.

Comments

[Николай Корабельников]

1. Насколько я помню, современные браузеры не проверяют CRL напрямую, а обращаются к собственным спискам отзыва. К тому же OCSP Stapling позволяет не зависеть от УЦ, а быстро предоставить подписанный ответ о валидности сертификата.
2. Хорошим тоном является, когда все сертификаты в цепочке (кроме корневого) передаются от веб-сервера. Так что дополнительные запросы не пойдут.

Answer 2

[Antonio Solo]

производитель и тип сертификата не влияет. может влиять тип ассиметричного ключа, который удостоверяется сертификатом - но если и влияет то минимально. ассиметричным ключом шифруется и подписывается сеансовый симметричный ключ, которым уже шифруются данные