OpenResty 1.29.2.4 正式版发布，修复了 NGINX 核心中的五个安全漏洞，包括 HTTP/3 和 OCSP 模块。建议用户尽快升级，并提供多种平台的预编译二进制包。

火狐浏览器已实施CRLite证书吊销机制，取代OCSP协议，以增强隐私保护和性能。CRLite每12小时更新吊销证书列表，减少用户隐私泄露和加载时间。未来版本将禁用OCSP，确保安全性而不影响网络性能。

在线通信安全依赖于SSL/TLS证书提供的加密连接。证书可能因安全违规或密钥丢失被撤销，主要通过在线证书状态协议（OCSP）和证书撤销列表（CRL）进行管理。OCSP提供实时撤销信息，而CRL是定期更新的撤销列表。两者各有优缺点，确保证书的完整性和可信度。

文章讨论了Firefox、Chrome和Safari在处理SSL证书吊销信息时的不同策略。Firefox通过OCSP检查证书有效性，但在超时情况下会放行，存在安全隐患。提到OCSP装订和CRLite技术，后者提高查询速度并保护用户隐私。

本文介绍了如何使用OCSP Stapling来改善PostgreSQL的安全性。OCSP Stapling是一种在SSL/TLS协议中使用的方法，服务器在握手过程中主动发送最新的OCSP响应和自己的证书，使客户端能够验证证书的状态而无需直接联系OCSP响应服务器。使用OCSP Stapling可以增强用户信任和实时证书验证、提高隐私保护、减少延迟和提高资源利用效率。文章还介绍了设置OCSP环境和验证TLS连接的步骤。

OCSP是一种在线检查证书状态的协议，比CRL更轻量化且实时。Chrome关闭OCSP验证考虑了速度和隐私问题，与Firefox竞争。

本文介绍了OCSP stapling的工作原理和优点，以及如何在Apache和Nginx上配置。OCSP stapling可以提高SSL协商性能，同时维护访问者隐私。支持OCSP stapling的服务器包括Apache和Nginx。配置需要检索证书并保存在文件中。最后，使用命令行工具和SSL测试来测试OCSP stapling是否正常工作。

In this blog and our previous one, we have learned what mTLS is, how it works, when to use it, and how easily we can verify our mTLS setup with openssl/curl.

Oneinstack 和 LNMP 一键包默认的 OpenSSL 版本未修复 CVE-2016-6304 漏洞，需手动升级。通过 nginx -V 确认当前 OpenSSL 版本并记录编译参数，下载新版源码后重新编译 nginx 并替换二进制文件，最后重启服务完成修复！