Révocation et transparence

Un certificat peut devoir être invalidé avant son expiration — clé privée volée, domaine cédé, émission frauduleuse. C'est la révocation, et elle fonctionne mal.

Les mécanismes classiques

La CRL (liste de révocation) est une liste publiée par l'autorité. Elle est devenue énorme et se télécharge lentement.

OCSP interroge l'autorité pour un certificat précis. Plus léger, mais deux défauts sérieux : chaque visite signale à l'autorité quel site tu consultes, et si son serveur ne répond pas, le navigateur passe outre plutôt que de bloquer.

Ce dernier point vide le mécanisme de sa substance : un attaquant capable d'intercepter la connexion peut aussi bien bloquer la requête OCSP.

L'agrafage

L'agrafage OCSP (stapling) corrige la fuite de vie privée : le serveur obtient lui-même une attestation récente et la joint au handshake. Le navigateur n'a plus à interroger qui que ce soit.

La vraie parade : des durées courtes

Le web a fini par admettre que la révocation était peu fiable, et a changé de stratégie : raccourcir la validité.

autrefois  :  3 ans
aujourd hui :  quelques mois

Un certificat qui expire vite limite mécaniquement les dégâts. C'est moins élégant qu'une révocation efficace, mais cela fonctionne — et le renouvellement automatique rend la contrainte indolore.

La transparence des certificats

Reste le problème d'une autorité qui émettrait un certificat frauduleux. La réponse s'appelle Certificate Transparency : toute émission doit être inscrite dans des registres publics, en ajout seul et vérifiables.

L'idée est astucieuse. Elle n'empêche pas l'émission frauduleuse, mais la rend impossible à dissimuler. Le propriétaire d'un domaine surveille les registres et découvre rapidement tout certificat émis à son nom qu'il n'a pas demandé.

C'est un déplacement de stratégie qu'on retrouve souvent en sécurité : quand empêcher devient trop coûteux, on rend la fraude visible. Les navigateurs exigent désormais cette inscription, et c'est ainsi que plusieurs émissions abusives ont été détectées en quelques heures.