Vous êtes ici: accueil » documentation » base » basecrl
Cette page vous donne les différences entre la révision choisie et la version actuelle de la page.
| documentation:base:basecrl 2007/04/26 11:04 | documentation:base:basecrl 2010/01/05 13:41 version actuelle | ||
|---|---|---|---|
| Ligne 1: | Ligne 1: | ||
| - | ===== Liste de certificats révoqués ===== | + | ====== Liste des certificats révoqués ====== |
| - | + | ||
| - | Cette page introduit le concept des CRL (certificate revocation list) ou, en français, LCR (liste de certificats révoqués), leur fonctionnement, et leurs avantages et limitations. | + | |
| - | + | ||
| - | * Qu'est-ce qu'une CRL ? | + | |
| - | + | ||
| - | * Comment fonctionne une CRL ? | + | |
| - | + | ||
| - | * Quels sont les bénéfices à utiliser des CRLs ? | + | |
| - | + | ||
| - | * Quelles sont les limitations des CRLs ? | + | |
| + | Cette page introduit le concept des LCR (liste des certificats révoqués) – en anglais, LCR (certificate revocation list) –, leur fonctionnement, leurs avantages et limitations. | ||
| + | * Qu’est-ce qu’une LCR ? | ||
| + | * Comment fonctionne une LCR ? | ||
| + | * Quels sont les bénéfices à utiliser des LCR ? | ||
| + | * Quelles sont les limitations des LCR ? | ||
| * Références | * Références | ||
| + | \\ | ||
| - | === Qu'est-ce qu'une CRL ? === | + | ===== Qu’est-ce qu’une LCR ? ===== |
| - | + | ||
| - | + | ||
| - | Une CRL permet à des clients et à des serveurs de vérifier si l'entité avec laquelle il négocie a un certificat valide. Une CRL est un fichier binaire qui contient les informations suivantes : | + | |
| - | * Une liste de certificats révoqués et la raison de leur révocation. | + | Une LCR permet à des clients et à des serveurs de vérifier si l’entité avec laquelle il négocie a un certificat valide (c’est-à-dire non compromis). Une LCR est un fichier binaire qui contient les informations suivantes : |
| - | * L'émetteur de la CRL. | + | * Une liste de références vers les certificats révoqués et la raison de leur révocation, |
| - | * Quand elle a été émise. | + | * Le nom de l’émetteur de la LCR, //i.e.// le nom de l’AC émettrice, |
| - | * Quand la prochaine CRL sera publiée. | + | * Une date d’effet, //i.e.// date à laquelle elle a été émise, |
| + | * Une date d’expiration, //i.e.// date ultime à laquelle la prochaine LCR sera publiée. | ||
| - | L'AC qui génère et publie une CRL, signe numériquement la CRL. De cette manière le client ou le serveur qui récupère la CRL peut vérifier son origine. | + | L’AC qui génère et publie une LCR, signe numériquement la LCR. De cette manière, le client ou le serveur qui récupère la LCR peut vérifier son origine et son intégrité. |
| - | === Comment fonctionne une CRL ? === | ||
| + | ===== Comment fonctionne une LCR ? ===== | ||
| - | Vous accédez à une CRL quand vous devez, par exemple, utiliser un certificat à clef publique pour chiffrer des données pour un destinataire, ou pour vérifier la signature numérique sur un message que vous avez reçu. Ces opérations sont effectuées selon les étapes suivantes : | + | Vous accédez à une LCR quand vous devez, par exemple, utiliser un certificat à clé publique pour chiffrer des données pour un destinataire, ou pour vérifier la signature électronique d’un message que vous avez reçu. Ces opérations sont effectuées selon les étapes suivantes : |
| + | - Obtenir le certificat et vérifier s’il est valide syntaxiquement, | ||
| + | - Récupérer le numéro de série du certificat, | ||
| + | - Récupérer la LCR (habituellement auprès d’un annuaire X.500 ou d’un dépôt de stockage), | ||
| + | - Vérifier la signature de la LCR, la date d’émission et la date d’expiration, | ||
| + | - Vérifier la LCR pour déterminer si le certificat est révoqué (la recherche est basée sur le numéro de série), | ||
| + | - Alerter l’utilisateur dans le cas où le certificat serait révoqué et lui demander comment procéder dans ce cas. | ||
| - | - Obtenir le certificat et vérifier s'il est valide. | + | À propos de la non-répudiation des transactions... |
| - | - Récupérer le numéro de série du certificat. | + | |
| - | - Récupérer la CRL (habituellement auprès d'un annuaire X.500 ou d'un dépôt de stockage) | + | |
| - | - Vérifier la signature de la CRL, la date de publication et quand sera émise la prochaine CRL. | + | |
| - | - Vérifier la CRL pour déterminer si le certificat est révoqué ou suspendu (la recherche est basée sur le numéro de série) | + | |
| - | - Alerter l'utilisateur dans le cas ou le certificat serait révoqué et lui demander comment procéder dans ce cas. | + | |
| - | A propos de la non-répudiation des transactions... | + | Normalement, l’AC est responsable de la non-répudiation des transactions. Elle maintient un journal des événements et protège les accès à la LCR. Une application peut remplacer l’AC pour gérer la non-répudiation des transactions. Tout comme pour l’AC, il est nécessaire de pouvoir prouver l’intégrité de la transaction à une date ultérieure. Pour ce faire, vous devez archiver le message et la LCR que vous avez utilisés au moment de la vérification de la signature. Vous pouvez alors démontrer que vous avez vérifié l’intégrité et l’authenticité du message : le message a été signé numériquement en utilisant la clé appropriée, et le certificat correspondant n’était pas révoqué. |
| - | Normalement, l'AC est responsable de la non-répudiation des transactions. Elle maintient un journal des événements et protège les accès à la CRL. Une application peut remplacer l'AC pour gérer la non-répudiation des transactions. Tout comme pour l'AC, il est nécessaire de pouvoir prouver l'intégrité de la transaction à une date ultérieure. Pour ce faire, vous devez archiver le message et la CRL que vous avez utilisés au moment de la vérification de la signature. Vous pouvez alors démontrer que vous avez vérifié l'intégrité et l'authenticité du message : le message a été signé numériquement en utilisant la clé appropriée, et le certificat correspondant n'était pas révoqué. | ||
| - | === Quels sont les bénéfices à utiliser des CRLs ? === | + | ===== Quels sont les bénéfices à utiliser des LCR ? ===== |
| + | La LCR fournit les avantages suivants : | ||
| + | * La LCR est une technologie éprouvée auprès des différents éditeurs et intégrateurs de PKI, | ||
| + | * La LCR peut être distribuée aux utilisateurs de plusieurs manières, y compris des méthodes de poussée ou de récupération, | ||
| + | * La LCR est habituellement liée à l’AC qui a émis le certificat à clé publique et la LCR. Il est possible de déléguer les droits de génération et de signature de LCR à une autre AC, | ||
| + | * La plupart des applications de PKI peuvent obtenir les LCR à partir des répertoires X.500 en utilisant DAP ou LDAP et les utiliser pour connaître le statut de révocation d’un certificat. | ||
| - | La CRL fournit les avantages suivants : | ||
| - | * La CRL est une technologie éprouvée auprès des différents constructeurs de PKI. | + | ===== Quelles sont les limitations des LCR ? ===== |
| - | * La CRL peut être distribuée aux utilisateurs de plusieurs manières, y compris des méthodes de poussée ou de récupération. | + | |
| - | * La CRL est habituellement liée à l'AC qui a émis le certificat à clef publique et la CRL. Il est possible de déléguer les droits de génération et de signature de CRL à une autre AC. | + | |
| - | * La plupart des applications de PKI peuvent obtenir les CRLs à partir des répertoires X.500 en utilisant DAP ou LDAP et les utiliser pour connaître le statut de révocation d'un certificat. | + | |
| - | === Quelles sont les limitations des CRLs ? === | + | La LCR est soumise aux limitations suivantes : |
| + | * Vous devez toujours avoir la dernière LCR émise pour vérifier des signatures ou chiffrer des données. La LCR étant un fichier, votre application doit rechercher une nouvelle LCR si sa copie locale est périmée. Dans une grande communauté, vous devez télécharger fréquemment les LCR, et la LCR peut devenir rapidement très volumineuse. Par conséquence, l’application peut être sensiblement ralentie par le volume de données à récupérer et à traiter ainsi que par l’engorgement du réseau, | ||
| + | * La LCR est créée et éditée sur une base périodique, souvent déterminée par des configurations dans le logiciel de PKI. Vous devez évaluer combien de fois votre LCR doit être mise à jour. Publier trop souvent peut surcharger votre infrastructure. Ne pas publier assez souvent peut avoir comme conséquence que les certificats utilisés par un utilisateur sont révoqués sans qu’il ne le sache. | ||
| - | La CRL est soumise aux limitations suivantes : | + | ===== Références ===== |
| - | * Vous devez toujours avoir la dernière CRL émise pour vérifier des signatures ou chiffrer des données. La CRL étant un fichier, votre application doit rechercher une nouvelle CRL si sa copie locale est périmée. Dans une grande communauté, vous devez télécharger fréquemment les CRLs, et la CRL peut devenir rapidement très volumineuse. Par conséquence, l'application peut être sensiblement ralentie par le volume de données à récupérer et à traiter ainsi que par l'engorgement du réseau. | + | * [[http://tools.ietf.org/html/rfc5280|RFC 5280]] |
| - | * La CRL est créée et éditée sur une base périodique, souvent déterminée par des configurations dans le logiciel de PKI. Vous devez évaluer combien de fois votre CRL doit être mise à jour. Publier trop souvent peut surcharger votre infrastructure. Ne pas publier assez souvent peut avoir comme conséquence que les certificats utilisés par un utilisateur sont révoqués sans qu'il ne le sache. | + | |
| - | === Références === | ||
| - | * [[http://www.ietf.org/rfc/rfc3280.txt]] | ||
| - | * [[http://www.ietf.org/rfc/rfc2560.txt]] | ||
