Vérification du Fonctionnement - Service OCSP

📍 Schéma de l’Infrastructure

---

⚙️ Configuration du service OCSP

🛠️ Test de l'OCSP à l'aide de cerutil

Depui l'externe

🔑 Révoquer le certificat iam2.sec6.loc

🔍 Vérification du certificat révoqué

FireFox

Edge

Certutil

📚 Réponses du chapitre (Points Théoriques)

1. Quel modèle de certificat nécessite le service OCSP ?

Le service OCSP utilise le modèle de certificat "OCSP Response Signing".

2. Quel est le temps de validité du certificat attribué au service OCSP, que justifie cette durée ?

Le certificat OCSP a généralement une validité de deux semaines. Cette durée garantit que les informations de révocation sont toujours à jour et limite les risques d’utilisation d’une réponse obsolète.

3. Pour le certificat du service OCSP que vaut les URL AIA et CRL ?

CRL : http://iam.secu6.loc/CertEnroll/<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

AIA : http://iam.secu6.loc/CertEnroll/<ServerDNSName>_<CaName><CertificateName>.crt

Ces URL permettent aux clients de vérifier la chaîne de certification et d’obtenir des informations sur la révocation.

4. Quels sont les limites de l’OCSP et quelle technique est proposée ?

L’OCSP présente plusieurs limites comme la charge sur le serveur, les problèmes de confidentialité et la disponibilité (car il nécessite des vérifications en temps réel). Une solution pour améliorer la performance est l’OCSP stapling, qui permet au serveur web de stocker et fournir une réponse OCSP pré-signée, réduisant ainsi la charge et le temps de latence.