The browser sends a query to an OCSP server to verify the current validity of it's ssl/tls certificate.
Sì, con OCSP l'OCSP potrebbe capire quale sito l'utente visita. Non può capire quale URL ma può determinare il certificato al quale il browser tenta di accedere e quindi quale sito. Le richieste OCSP non vengono eseguite per ciascuna richiesta HTTPS per lo stesso sito ma la risposta viene memorizzata nella cache per un po 'di tempo. Alcuni server ricevono periodicamente la risposta OCSP dal risponditore OCSP e li inviano insieme al certificato (pinzatura OCSP). In questo caso il browser non ha bisogno di interrogare lo stesso risponditore OCSP che è una buona cosa per la privacy e anche per le prestazioni. A parte questo, il browser Chrome non utilizza più OCSP ma ha un elenco di certificati revocati. Non tutti sono d'accordo sul fatto che questo è veramente il modo migliore .
It also queries a service to check if the website is malicious ("block reported attack sites" on firefox)
Le versioni iniziali di questa funzione (Google Safebrowsing) hanno controllato ciascun sito chiedendo un server centrale, ma questo era molto tempo fa. Oggi un database locale viene aggiornato regolarmente e i controlli vengono eseguiti offline su questo database. Solo se questo controllo offline indica che il sito potrebbe essere malevolo, andrà online e lo verificherà con il server centrale. Quindi questa caratteristica non è più una grande invasione della privacy.
Tuttavia, numerosi firewall / prodotti antivirus si comportano ancora in questo modo e inviano URL sconosciuti al fornitore di firewall, il che rende quindi un altro accesso per analizzare il sito potenzialmente dannoso. Alcuni venditori arrivano addirittura a vendere questi profili a parti interessate come inserzionisti .