Vous êtes ici: accueil » documentation » base » basecrl
Cette page introduit le concept des CRL (certificate revocation list) ou, en français, LCR (liste de certificats révoqués), leur fonctionnement, et leurs avantages et limitations.
Une CRL permet à des clients et à des serveurs de vérifier si l'entité avec laquelle il négocie a un certificat valide. Une CRL est un fichier binaire qui contient les informations suivantes :
L'AC qui génère et publie une CRL, signe numériquement la CRL. De cette manière le client ou le serveur qui récupère la CRL peut vérifier son origine.
Vous accédez à une CRL quand vous devez, par exemple, utiliser un certificat à clef publique pour chiffrer des données pour un destinataire, ou pour vérifier la signature numérique sur un message que vous avez reçu. Ces opérations sont effectuées selon les étapes suivantes :
Obtenir le certificat et vérifier s'il est valide.
Récupérer le numéro de série du certificat.
Récupérer la CRL (habituellement auprès d'un annuaire X.500 ou d'un dépôt de stockage)
Vérifier la signature de la CRL, la date de publication et quand sera émise la prochaine CRL.
Vérifier la CRL pour déterminer si le certificat est révoqué ou suspendu (la recherche est basée sur le numéro de série)
Alerter l'utilisateur dans le cas ou le certificat serait révoqué et lui demander comment procéder dans ce cas.
A propos de la non-répudiation des transactions…
Normalement, l'AC est responsable de la non-répudiation des transactions. Elle maintient un journal des événements et protège les accès à la CRL. Une application peut remplacer l'AC pour gérer la non-répudiation des transactions. Tout comme pour l'AC, il est nécessaire de pouvoir prouver l'intégrité de la transaction à une date ultérieure. Pour ce faire, vous devez archiver le message et la CRL que vous avez utilisés au moment de la vérification de la signature. Vous pouvez alors démontrer que vous avez vérifié l'intégrité et l'authenticité du message : le message a été signé numériquement en utilisant la clé appropriée, et le certificat correspondant n'était pas révoqué.
La CRL fournit les avantages suivants :
La CRL est une technologie éprouvée auprès des différents constructeurs de PKI.
La CRL peut être distribuée aux utilisateurs de plusieurs manières, y compris des méthodes de poussée ou de récupération.
La CRL est habituellement liée à l'AC qui a émis le certificat à clef publique et la CRL. Il est possible de déléguer les droits de génération et de signature de CRL à une autre AC.
La plupart des applications de PKI peuvent obtenir les CRLs à partir des répertoires X.500 en utilisant DAP ou LDAP et les utiliser pour connaître le statut de révocation d'un certificat.
La CRL est soumise aux limitations suivantes :
Vous devez toujours avoir la dernière CRL émise pour vérifier des signatures ou chiffrer des données. La CRL étant un fichier, votre application doit rechercher une nouvelle CRL si sa copie locale est périmée. Dans une grande communauté, vous devez télécharger fréquemment les CRLs, et la CRL peut devenir rapidement très volumineuse. Par conséquence, l'application peut être sensiblement ralentie par le volume de données à récupérer et à traiter ainsi que par l'engorgement du réseau.
La CRL est créée et éditée sur une base périodique, souvent déterminée par des configurations dans le logiciel de PKI. Vous devez évaluer combien de fois votre CRL doit être mise à jour. Publier trop souvent peut surcharger votre infrastructure. Ne pas publier assez souvent peut avoir comme conséquence que les certificats utilisés par un utilisateur sont révoqués sans qu'il ne le sache.
