Base de Connaissances

Protocole OCSP (Online Certificate Status Protocol)

Le protocole OCSP (Online Certificate Status Protocol) a été créé comme alternative au protocole CRL (Certificate Revocation List). Ces deux protocoles sont utilisés pour vérifier si un certificat SSL a été révoqué.

Le protocole CRL oblige le navigateur à télécharger des quantités potentiellement importantes d’informations sur la révocation des certificats SSL: les numéros de série des certificats ainsi que leur statut à la date de la dernière publication. Le problème du protocole CRL est qu’il peut augmenter le temps nécessaire à l’établissement de la négociation SSL.

Le protocole OCSP n’exige pas que le navigateur consacre du temps à télécharger une liste puis à y rechercher les informations relatives au certificat. Avec OCSP, le navigateur envoie simplement une requête et reçoit une réponse d’un répondeur OCSP (un serveur de l’autorité de certification conçu spécifiquement pour recevoir et traiter les requêtes OCSP) concernant le statut de révocation du certificat.

Agrafage OCSP (OCSP Stapling)

L’agrafage OCSP peut être utilisé pour améliorer le protocole OCSP en permettant au site d’hébergement Web d’être plus proactif dans l’amélioration de l’expérience client (navigation). L’agrafage OCSP permet au présentateur du certificat (c’est-à-dire le serveur Web) d’interroger directement le répondeur OCSP, puis de mettre la réponse en cache. Cette réponse mise en cache de manière sécurisée est ensuite transmise lors de la négociation TLS/SSL via la réponse de l’extension Certificate Status Request, garantissant ainsi que le navigateur obtient les informations de statut du certificat avec les mêmes performances que celles utilisées pour le contenu du site Web.

L’agrafage OCSP répond à une préoccupation liée à la confidentialité avec OCSP, car l’autorité de certification ne reçoit plus directement les demandes de révocation provenant du client (navigateur). L’agrafage OCSP permet également de réduire les délais liés aux négociations SSL utilisant OCSP en supprimant la nécessité d’établir une connexion réseau distincte avec les répondeurs de l’autorité de certification.

Instructions pour activer l’agrafage OCSP sur votre serveur

• Windows: activation de l’agrafage OCSP sur votre serveur

• Apache: activation de l’agrafage OCSP sur votre serveur

• Nginx: activation de l’agrafage OCSP sur votre serveur