Исходное сообщение
"Mozilla внедряет CRLite для проверки проблемных TLS-сертифик..." Отправлено Аноним84701, 14-Янв-20 21:01
>> даже 32 (если уж учитывать возможность теста на ложные срабатывания) хеша этих сертификатов. > Но ведь в этом случае, если нашли начало хеша по локальной "урезанной" > базе, нужно будет всё равно послать запрос OCSP и убедиться что > полный хеш всё же совпадает. Не-не-не. Я же специально написал об "учитывании возможности ложных срабатываний". Т.е. сделать, как в сабже (только "в профиль") -- иметь  доп. список (в новости: "layer") для ложных срабатываний. Или использовать вариабельное кол. бит, достаточное для избежания коллизий. Там, на первый взгляд, проблема будет только в том, что в давно не обновленном списке какой нибудь новый (валидный) сертификат может попасть под ложное срабатывание (но опять же, можно использовать определенный минимум в те же 32 бит). Ну или взять 64/128 (хотя и тут лучше иметь этот самый доп. список) -- все равно через десяток-другой обновлений выходим по траффику в "плюс".