OCSP : Online Certificate Status Protocol
Sécurité
OCSP : Online Certificate Status Protocol. « Protocole de statut de certificat en ligne », par analogie avec le coup de fil au commerçant pour vérifier qu'une carte de fidélité n'a pas été déclarée volée avant de l'accepter.
Principe : Le client envoie le numéro de série d'un certificat à un répondeur désigné par la CA, qui renvoie une réponse signée : bon, révoqué ou inconnu. On interroge sur un seul certificat au lieu de télécharger toute une CRL.
Stapling : Avec l'agrafage, le serveur va lui-même chercher une réponse récente et la joint à la poignée de main TLS. Le client n'a plus à contacter le répondeur, ce qui épargne à la fois un aller-retour et un aveu sur les sites qu'il visite.
Échec silencieux : Quand le répondeur ne répond pas, la plupart des clients passent outre et acceptent le certificat. Un contrôle qui s'efface dès qu'on coupe le câble tient moins du verrou que de la politesse, et l'attaquant capable d'intercepter le trafic sait aussi le couper.
Vie privée : Sans agrafage, le répondeur apprend quel certificat chaque client vérifie, donc quel site il consulte. Cette fuite a pesé lourd dans la tendance actuelle à raccourcir la durée de vie des certificats plutôt qu'à perfectionner la révocation.
Ce qui arrive si on s'en passe
Sans vérification de révocation, un certificat dont la clé privée a été volée reste accepté jusqu'à sa date d'expiration. Celui qui détient la clé peut alors se faire passer pour le serveur légitime auprès de tout client placé sur le chemin du trafic, et intercepter ou modifier les échanges sans alerte. L'annonce de révocation publiée par l'autorité ne change rien pour les clients qui ne la consultent pas. Même activée, la vérification reste contournable si le client accepte le certificat quand le répondeur est injoignable : l'agrafage côté serveur et l'exigence d'agrafage dans le certificat réduisent cette marge, et des certificats de courte durée la bornent dans le temps.
Explication de la marmotte
Sur internet, un site prouve son identité avec une sorte de carte officielle numérique. Parfois, cette carte est volée ou émise par erreur, et l'organisme qui l'a délivrée l'annule. Encore faut-il que les visiteurs l'apprennent. Ce mécanisme sert à ça : avant de faire confiance à la carte d'un site, l'ordinateur pose la question à l'organisme émetteur, qui répond « toujours valable » ou « annulée ». Pour aller plus vite, le site peut aussi présenter lui-même une réponse récente, datée et signée par l'organisme, un peu comme une attestation tamponnée du jour.
Où ce terme est utilisé
- CRL ou OCSP pour révoquer un certificat (24 occurrences)
- La révocation qui ne marche pas (20 occurrences)
- OCSP stapling pour vérifier la révocation TLS (17 occurrences)
- Relier une clé à une identité: certificats et PKI (6 occurrences)
- Construire une autorité de certification privée interne (3 occurrences)
- Quels risques pour un certificat wildcard TLS (3 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (2 occurrences)
- Authentifier une API B2B hors annuaire interne (2 occurrences)
- Certificate pinning : risques et rotation des certificats (2 occurrences)
- Comprendre TLS : mécanismes, garanties et limites (2 occurrences)