CRL : Certificate Revocation List
Gestion des clés
CRL : Certificate Revocation List. « Liste de révocation de certificats », par analogie avec la liste des cartes bancaires volées que le commerçant consultait avant d'accepter un paiement.
Contenu : Une liste signée par l'autorité de certification (CA) qui énumère les numéros de série des certificats révoqués, avec la date de révocation et souvent un motif. Elle porte une date de prochaine mise à jour, au-delà de laquelle elle ne fait plus foi.
Distribution : Le certificat indique où récupérer la liste, généralement une URL en HTTP ou un chemin LDAP. Pas besoin de canal chiffré : c'est la signature de la CA qui garantit l'intégrité.
Limites : Une liste qui grossit, qu'on télécharge en entier et qu'on met en cache : la fraîcheur y est une notion aussi élastique qu'une promesse de campagne. Les navigateurs ont longtemps échoué en mode permissif quand la liste était injoignable, ce qui revient à ne rien vérifier du tout ; OCSP et la réduction de durée de vie des certificats sont nés de ces limites.
Ce qui arrive si on s'en passe
Sans publication ni consultation d'une liste de révocation, un certificat dont la clé privée a fui reste accepté jusqu'à sa date d'expiration. Quiconque détient cette clé peut alors se faire passer pour le service légitime, intercepter des connexions ou signer du contenu qui sera cru. Une liste publiée mais jamais consultée, ou consultée en ignorant silencieusement les échecs de téléchargement, produit exactement le même effet. Une liste dont la date de prochaine mise à jour est dépassée doit être traitée comme absente, pas comme valide.
Explication de la marmotte
Un badge d'accès peut être perdu ou volé avant sa date de fin. Pour éviter qu'un voleur s'en serve, l'organisme qui fabrique les badges publie régulièrement une liste officielle des badges annulés. Avant de laisser entrer quelqu'un, le gardien regarde si le badge présenté figure sur cette liste. Si oui, la porte reste fermée, même si le badge a l'air parfaitement valide. Sur Internet, c'est pareil pour les pièces d'identité numériques des sites web.
Où ce terme est utilisé
- CRL ou OCSP pour révoquer un certificat (32 occurrences)
- La révocation qui ne marche pas (16 occurrences)
- Cycle de vie d'une autorité de certification intermédiaire (6 occurrences)
- Relier une clé à une identité: certificats et PKI (5 occurrences)
- Construire une autorité de certification privée interne (4 occurrences)
- Authentifier une API B2B hors annuaire interne (2 occurrences)
- Gestion du cycle de vie des certificats à grande échelle (2 occurrences)
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (2 occurrences)
- Migrer TLS legacy sans casser les clients anciens (2 occurrences)
- Quels risques pour un certificat wildcard TLS (2 occurrences)