La révocation d’un certificat est le processus par lequel une autorité de certification (AC) invalide un certificat numérique avant sa date d’expiration normale. Cela peut être nécessaire dans plusieurs situations, notamment lorsque le certificat a été compromis, lorsque les informations associées au certificat ont changé ou lorsque l’autorité de certification cesse de fonctionner.

Étapes de la révocation d’un certificat:

1. L’autorité de certification identifie la nécessité de révoquer un certificat, par exemple en cas de compromission.
2. L’autorité de certification crée une liste de révocation de certificats (CRL) contenant les certificats révoqués.
3. Cette liste est publiée et mise à disposition du public afin que les utilisateurs puissent vérifier si un certificat donné a été révoqué.
4. Les clients qui reçoivent des certificats vérifient régulièrement la CRL pour détecter les certificats révoqués.
5. Si un certificat est révoqué, il est considéré comme non valide et ne doit plus être utilisé.

Le saviez-vous

1. La révocation d’un certificat peut être effectuée de manière active ou passive. Lors d’une révocation active, l’autorité de certification intervient directement pour invalider le certificat. En revanche, lors d’une révocation passive, un utilisateur vérifie la CRL pour déterminer si un certificat a été révoqué.
2. L’utilisation de listes de révocation de certificats (CRL) peut être coûteuse en termes de performance, car les clients doivent accéder régulièrement à ces listes pour vérifier les certificats.
3. Une alternative à l’utilisation des CRL est l’utilisation des listes de révocation en ligne (OCSP), qui permettent aux clients de vérifier l’état de révocation d’un certificat en temps réel auprès de l’autorité de certification.
4. La révocation d’un certificat peut également être réalisée par le titulaire du certificat lui-même, par exemple lorsque la clé privée associée au certificat est compromise.
5. La révocation d’un certificat est une mesure essentielle pour maintenir la sécurité et la confiance dans les infrastructures à clé publique, notamment pour les communications sécurisées, les transactions en ligne et l’authentification numérique.
6. Les autorités de certification doivent maintenir des politiques de révocation claires et suivre des procédures rigoureuses pour garantir l’efficacité de la révocation des certificats.