Le protocole OCSP (Online Certificate Status Protocol) est une méthode permettant de vérifier en temps réel si un certificat numérique a été révoqué. Au lieu de télécharger une liste complète des certificats révoqués, un client envoie une seule requête à un serveur OCSP et obtient immédiatement une réponse indiquant « Valide », « Révoqué » ou « Inconnu ».
Points clés à retenir
- Le protocole OCSP vérifie l'état de révocation des certificats en temps réel, et non à partir d'une liste enregistrée.
- Un client interroge un répondeur OCSP et reçoit en retour les réponses « Good », « Revoked » ou « Unknown ».
- L'agrafage OCSP permet à un serveur de fournir une réponse mise en cache et signée lors de la phase d'établissement de la connexion.
- Versa Les profils de déchiffrement TLS peuvent imposer des vérifications OCSP avant de considérer un certificat comme fiable.
- Versa Director peut interrompre un tunnel IPsec lorsqu'une réponse OCSP est « Unknown ».
Sur cette page : Pourquoi est-ce important ?Comment ça marcheTypesOCSP et VersaFAQ
Pourquoi l'OCSP est-il important ?
Les certificats numériques peuvent être révoqués – en cas de fuite d'une clé privée, de changement de propriétaire d'un domaine ou d'erreur commise par une autorité de certification – et tous les systèmes qui font confiance à ce certificat doivent en être informés rapidement. Les listes CRL publient tous les certificats révoqués par une autorité de certification, mais ces listes deviennent de plus en plus volumineuses et les clients peuvent conserver en cache des copies obsolètes entre deux mises à jour, ce qui laisse une fenêtre pendant laquelle un certificat révoqué peut encore paraître valide.
L'OCSP met fin à cette lacune. Une partie de confiance interroge l'autorité de certification émettrice, ou un répondant délégué, pour connaître le statut d'un certificat spécifique et obtient une réponse signée en temps réel – en quelques millisecondes, contre les minutes que peut prendre le téléchargement d'une liste CRL. Cela revêt une importance capitale lorsque les décisions de confiance sont prises automatiquement et à grande échelle : poignées de main TLS, authentification par certificat VPN et IPsec, ainsi que tout flux de travail dans lequel un certificat révoqué doit être rejeté immédiatement.
Qu'est-ce que l'OCSP ?
L'OCSP est défini dans la RFC 6960 comme un protocole de requête-réponse fonctionnant sur HTTP. Le demandeur construit une requête contenant le numéro de série et l'émetteur du certificat, sous forme de hachage plutôt qu'en clair, et l'envoie à l'URL du répondant. Le répondant – l'autorité de certification elle-même ou un tiers mandaté – renvoie une réponse signée avec sa propre clé, afin que le client puisse vérifier la source de la réponse.
La réponse peut prendre l'une des trois valeurs suivantes : « Good » (non révoqué, à la connaissance du serveur), « Revoked » (avec motif et date) ou « Unknown » (aucune trace du certificat – ce qui ne revient pas à en garantir la validité). Les réponses indiquent également des plages de validité, ce qui permet aux clients de mettre une réponse en cache plutôt que d'effectuer une requête à chaque connexion, trouvant ainsi un compromis entre la charge du serveur et l'actualité des données.
Types d'OCSP
Deux modèles de mise en œuvre couvrent la plupart des déploiements. Dans le cadre de la vérification OCSP directe, le client (un navigateur, une passerelle VPN, un pare-feu) interroge le répondeur au moment de la connexion ; ce modèle est simple, mais il ajoute un aller-retour et dépend de l’accessibilité du répondeur. L’« OCSP stapling » inverse ce processus : le serveur récupère à l’avance une réponse signée et l’ajoute (« agrafe ») à la négociation TLS, ce qui permet au client de valider l’état de révocation sans contacter le serveur de réponse. L’« OCSP stapling » réduit la charge du serveur de réponse et élimine une fuite de données confidentielles, car sans cela, les serveurs de réponse pourraient savoir quels sites un client visite.
La mise en cache influence également le comportement : les répondeurs et les clients respectent tous deux une période de validité de la réponse, et les appareils qui appliquent l'OCSP peuvent interroger le statut à un intervalle défini plutôt qu'à chaque transaction. La manière dont un appareil gère une réponse non concluante (Inconnu ou délai d'attente expiré) relève d'un choix de politique et ne fait pas partie du protocole ; c'est pourquoi les implémentations proposent un paramètre explicite à cet effet.
OCSP & Versa
Les appareils VOS prennent en charge le protocole OCSP dans la configuration du serveur de certificats de la vue « Director », dans le workflow du serveur de certificats dédié au NGFW, ainsi que pour une autorité de certification (CA) globale, indépendante de l’organisation, configurée via une autorité de certification commune. L’onglet « OCSP » de chaque serveur permet de définir l’URL du répondeur, l’algorithme de hachage pour les requêtes et une durée de mise en cache des réponses (jusqu’à 168 heures), afin que l’appareil n’effectue pas de nouvelle requête à chaque utilisation. Un intervalle de surveillance permet au VOS d’interroger l’état du répondeur selon une fréquence définie, et d’activer ou de désactiver la signature des requêtes de contrôle ainsi que la vérification des signatures.
Le paramètre ayant le plus d’impact sur le fonctionnement est « On Response Unknown » : les administrateurs choisissent si une réponse OCSP non concluante entraîne la fermeture du tunnel IPsec associé ou si celui-ci reste ouvert, faisant ainsi un compromis entre la disponibilité et la fiabilité des certificats. La vérification OCSP contrôle également les profils de décryptage TLS de VOS, partageant un cache avec la vérification CRL, à laquelle VOS ne recourt que lorsque l’OCSP ne parvient pas à valider un certificat.
Questions fréquentes
Quelle est la différence entre l'OCSP et une CRL ?
Une liste CRL (Certificate Revocation List) est une liste publiée périodiquement qui répertorie tous les certificats révoqués par une autorité de certification ; les clients téléchargent la liste dans son intégralité et la vérifient localement, ce qui fait qu'elle peut devenir obsolète entre deux mises à jour. L'OCSP (Online Certificate Status Protocol) est une requête en temps réel, effectuée certificat par certificat, qui renvoie une réponse signée et actualisée sans qu'il soit nécessaire de récupérer la liste complète.
Que signifie une réponse OCSP « Unknown » ?
« Inconnu » signifie que le serveur de réponse ne dispose d'aucune trace du certificat – et non que ce dernier est valide. Cela peut être dû à une mauvaise configuration du serveur de réponse, à un certificat émis par une autorité de certification différente de celle interrogée, ou à un retard dans la mise à jour de la base de données.
Qu'est-ce que l'« OCSP stapling » ?
Avec le « stapling » OCSP, c'est le serveur, et non le client, qui récupère à l'avance une réponse signée et l'ajoute à la négociation TLS. Cela évite un aller-retour entre le client et le serveur de réponse, préserve la confidentialité de l'activité de navigation et continue de fonctionner même si le serveur de réponse est brièvement inaccessible.
La vérification OCSP ralentit-elle les procédures d'établissement de connexion TLS ?
La vérification directe via OCSP ajoute un aller-retour par validation, sauf en cas de mise en cache, ce qui augmente la latence si le serveur de réponse est lent. L'OCSP stapling élimine entièrement ce coût, puisque le serveur fournit une réponse déjà signée, récupérée à l'avance.
Que se passe-t-il si un répondeur OCSP est inaccessible ?
Le comportement dépend de la politique, et non du protocole. Certains systèmes adoptent un mode « fail open » : ils traitent un destinataire inaccessible comme « Unknown » et maintiennent le tunnel ouvert ; d’autres adoptent un mode « fail closed » et le bloquent. Les administrateurs d’ Versa définissent ce paramètre pour chaque serveur de certificats.
En savoir plus sur l'OCSP
Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.
| RFC 6960 : OCSP pour l'infrastructure PKI Internet X.509 | RFC 6066 : Extensions TLS |
|---|---|
| La norme actuelle de l'IETF définissant les requêtes et les réponses OCSP, ainsi que le modèle d'état « valide / révoqué / inconnu ». | Définit l'extension TLS `certificate_status` qui transporte une réponse OCSP intégrée lors de la phase de négociation. |
Termes associés
Si vous vous intéressez à l'OCSP, voici quelques liens qui pourraient vous intéresser.
| Environnement de gestion automatique des certificats | Autorité de certification | Demande de signature de certificat |
|---|---|---|
| Le protocole qui automatise la délivrance et le renouvellement des certificats – certificats dont l'OCSP vérifie ensuite s'ils ont été révoqués. | L'émetteur de confiance dont la signature garantit à la fois le certificat lui-même et, en général, son répondeur OCSP. | La requête qu'un périphérique envoie à une autorité de certification (CA) pour obtenir le certificat dont l'état de révocation sera ensuite signalé par le protocole OCSP. |