Quelles sont les meilleures pratiques pour mettre en œuvre la liste de révocation de certificats et l’OCSP de manière évolutive et sécurisée ?

1 LCR : avantages et inconvénients

Les listes de révocation de certificats sont des fichiers qui contiennent une liste des numéros de série des certificats qui ont été révoqués par l’autorité de certification émettrice. (CA). Les listes de révocation de certificats sont signées par l’autorité de certification et publiées périodiquement sur un serveur Web ou un service d’annuaire. Les clients peuvent télécharger la liste de révocation de certificats et vérifier si un certificat figure sur la liste avant de l’accepter. Les CRL sont simples et largement prises en charge, mais elles présentent également certains inconvénients. Ils peuvent être volumineux et consommer de la bande passante et du stockage, ils peuvent être obsolètes et ne pas refléter les dernières révocations, et ils peuvent être falsifiés ou usurpés par des attaquants.

2 OCSP: avantages et inconvénients

OCSP est un protocole qui permet aux clients d’interroger l’autorité de certification ou un répondeur approuvé pour connaître l’état d’un certificat spécifique. Les demandes et les réponses OCSP sont plus petites et plus rapides que les listes de révocation de certificats, et elles peuvent fournir des informations en temps réel sur l’état de révocation d’un certificat. OCSP dispose également de certaines fonctionnalités de sécurité, telles que les valeurs nonce et les signatures numériques, pour empêcher les attaques de relecture et de falsification. Cependant, l’OCSP a également certaines limites. Il nécessite une connectivité réseau et la disponibilité de l’autorité de certification ou du répondeur, il peut introduire des risques de confidentialité en révélant les certificats que les clients vérifient, et il peut être vulnérable aux attaques par déni de service.

3 Points de distribution de la liste de révocation de certificats

Une façon d’améliorer l’évolutivité et les performances des listes de révocation de certificats consiste à utiliser des points de distribution de listes de révocation de certificats (Les). Les CDP sont des URL qui sont incorporées dans les certificats et indiquent où les clients peuvent trouver les listes de révocation de certificats pour ces certificats. Les CDP peuvent pointer vers plusieurs emplacements, tels que des serveurs Web, des serveurs LDAP ou des partages de fichiers, pour assurer la redondance et l’équilibrage de charge. Les CDP peuvent également être configurés pour utiliser différentes étendues et fréquences pour différents types de certificats, tels que les certificats racine, intermédiaire ou d’entité finale, afin d’optimiser la taille de la liste de révocation de certificats et l’intervalle de mise à jour.

4 Agrafage OCSP

Une façon d’améliorer la sécurité et la confidentialité de l’OCSP est d’utiliser l’agrafage OCSP. L’agrafage OCSP est une technique qui permet au serveur d’obtenir une réponse OCSP de l’autorité de certification ou du répondeur à l’avance et de l’attacher au certificat pendant la négociation TLS. De cette façon, le client n’a pas besoin de contacter directement l’autorité de certification ou le répondeur, ce qui réduit la latence du réseau et l’exposition de l’utilisation du certificat du client. L’agrafage OCSP garantit également que la réponse OCSP est fraîche et valide, car elle est signée par l’autorité de certification ou le répondant et a une durée de vie limitée.

5 Solutions hybrides

En fonction de vos besoins et de vos contraintes, vous pouvez utiliser une combinaison de listes de révocation de certificats et d’OCSP pour obtenir le meilleur équilibre entre évolutivité, sécurité et disponibilité. Par exemple, vous pouvez utiliser les listes de révocation de certificats comme option de secours lorsque le fichier OCSP n’est pas disponible ou n’est pas fiable, ou vous pouvez utiliser le fichier OCSP en complément des listes de révocation de certificats lorsque vous avez besoin d’informations de révocation plus opportunes. Vous pouvez également utiliser différentes méthodes pour différents rôles ou scénarios, telles que l’utilisation de listes de révocation de certificats pour les certificats internes et OCSP pour les certificats externes, ou l’utilisation de listes de révocation de certificats pour les certificats à faible risque et OCSP pour les certificats à haut risque.

6 Meilleures pratiques

Quelle que soit la méthode que vous choisissez, il existe certaines meilleures pratiques générales auxquelles vous devez adhérer afin de mettre en œuvre les listes de révocation de certificats et les OCSP de manière sécurisée et évolutive. Il est important de planifier soigneusement vos politiques de gestion du cycle de vie et de révocation des certificats et de les documenter avec précision. L’utilisation des CDP et de l’agrafage OCSP peut améliorer l’efficacité et la fiabilité des CRL et des OCSP. De plus, il est essentiel de surveiller et d’auditer régulièrement vos CRL et vos serveurs et intervenants OCSP, en veillant à ce qu’ils soient mis à jour et synchronisés. De plus, il est essentiel de protéger vos réponses CRL et OCSP avec des signatures numériques et un chiffrement, en les vérifiant avant de les utiliser. En outre, vous devez implémenter des mécanismes de mise en cache et de prélecture pour réduire le trafic réseau et la latence des listes de révocation de certificats et OCSP. Enfin, vous devez tester la fonctionnalité et les performances de vos listes de révocation de certificats et OCSP dans différentes conditions et scénarios.