OCSP

Qu’est-ce que OCSP ?

L’OCSP est un protocole réseau utilisé pour vérifier la validité des certificats numériques. Il a été créé comme alternative aux CRL et résout le problème du téléchargement fréquent des mises à jour pour maintenir la liste à jour.

Lorsqu’un utilisateur accède à un serveur, OCSP envoie une requête concernant l’état du certificat. Le serveur renvoie l’état du certificat, indiquant s’il est « valide », « expiré » ou « inconnu ». Ce protocole définit la manière dont le serveur de certificats et le client communiquent entre eux.

OCSP vérifie l’état des certificats de sécurité en temps réel, ce qui est particulièrement important pour la validation étendue des certificats Secure Socket Layer (SSL) et Transport Layer Security (TLS). Lors de l’établissement d’une connexion HTTPS, les navigateurs effectuent une vérification OCSP auprès d’une autorité de certification (CA) afin de vérifier que le certificat est toujours actif et n’a pas été révoqué. Cette vérification peut toutefois retarder la négociation SSL, mais elle permet aux utilisateurs d’accéder au serveur jusqu’au renouvellement des certificats, car elle autorise l’accès au serveur avec des certificats expirés.

Comment fonctionne OCSP ?

Lorsque la validité d’un certificat doit être vérifiée, une requête OCSP est envoyée à un répondeur OCSP géré par l’AC. Ce répondeur valide la requête et renvoie l’état indiquant si le certificat est valide, révoqué ou inconnu. OCSP est pris en charge par la plupart des navigateurs populaires tels que Apple Safari, Internet Explorer, Microsoft Edge et Mozilla Firefox.

OCSP vs CRL

Afin de confirmer si le certificat d’un site Web a été révoqué, les navigateurs utilisent généralement à la fois OCSP et CRL. La CRL fonctionne comme une liste de numéros de série de  certificats révoqués par l’AC, mais elle peut être obsolète et doit être téléchargée périodiquement pour rester à jour.

Contrairement à la CRL, l’OCSP vérifie l’état de révocation du certificat en temps réel, améliorant ainsi la sécurité et la signature, car il garantit que le certificat est valide. En fournissant des mises à jour instantanées de l’état, ce processus est bien plus efficace que le téléchargement de la liste complète.

Défis de l’OCSP

Bien que l’OCSP soit très efficace, il fait face à certains défis, tels que l’augmentation des coûts pour les AC et les problèmes de confidentialité. La vérification OCSP en temps réel peut compromettre les données de navigation privées d’un utilisateur, car les requêtes sont envoyées via HTTP non chiffré et sont associées à des certificats spécifiques. Cela signifie que personne interceptant le trafic entre le navigateur et le répondeur OCSP ne saurait quels sites l’utilisateur a visités. De plus, si vous devez passer par un tiers pour votre identité, l’expérience de navigation peut être un peu plus lente.

La technologie d’agrafage OCSP était exactement ce qu’il fallait pour résoudre ces problèmes. Cette technologie permet d’inclure la réponse OCSP existante dans une connexion HTTPS et offre une meilleure confidentialité (en réduisant le nombre de fois où le navigateur doit envoyer une requête distincte) ainsi qu’un gain de temps (en réduisant la transmission de données entre le serveur et le navigateur).

Avantages de l’OCSP par rapport aux CRL

OCSP présente plusieurs avantages distincts par rapport aux CRL dans le processus de validation des certificats :

Vérification en temps réel : OCSP peut vérifier instantanément l'état du certificat, bloquant ainsi rapidement les certificats révoqués, tandis que les CRL nécessitent des mises à jour périodiques, ce qui peut entraîner une propagation retardée des informations de révocation.

Architecture flexible : OCSP peut évoluer indépendamment pour faire face à des volumes élevés de trafic, et les autorités de certification (CA) peuvent également déléguer le traitement des requêtes à des répondeurs tiers, augmentant ainsi l’efficacité.

Fonctionnement léger : les requêtes OCSP sont très petites, comparées aux CRL qui nécessitent le téléchargement de longues listes de certificats révoqués avec des exigences de bande passante plus élevées, réduisant ainsi la charge du réseau.

Diagnostics détaillés : les répondeurs OCSP peuvent fournir des informations spécifiques sur l’état d’un certificat et la raison de sa révocation, et pas seulement une simple indication « bon » ou « révoqué ».

Pas de cycle de renouvellement fixe : OCSP permet des requêtes continues sans devoir attendre des renouvellements fixes, ce qui accélère la réponse aux changements de statut des certificats.

Ces avantages font d’OCSP la solution privilégiée dans les environnements où une validation des certificats à jour et efficace est requise.