CRL (Certificate Revocation List)
Définition
Questions fréquentes
Pourquoi révoquer un certificat avant son expiration ?
Parce qu'un certificat peut cesser d'être fiable à tout moment. La clé privée a pu être compromise ou perdue, les informations qu'il contient ont pu changer, son titulaire a pu quitter l'organisation, ou l'autorité a pu constater une erreur lors de l'émission. La révocation informe les tiers qu'ils ne doivent plus se fier à ce certificat.
Quelle est la différence entre CRL et OCSP ?
La CRL est une liste complète des certificats révoqués, publiée à intervalles réguliers, que le logiciel télécharge puis consulte. L'OCSP est un protocole d'interrogation en ligne : le logiciel demande le statut d'un seul certificat et reçoit une réponse signée. L'OCSP est plus léger et plus à jour ; la CRL fonctionne sans connexion une fois téléchargée.
Une signature reste-t-elle valable si le certificat est révoqué ensuite ?
Oui, si elle a été créée avant la révocation. Ce qui compte est le statut du certificat au moment de la signature. Encore faut-il pouvoir prouver cette date : c'est le rôle de l'horodatage. Sans lui, il devient difficile d'établir qu'une signature est antérieure à la révocation du certificat qui a servi à la créer.
À quelle fréquence une CRL est-elle mise à jour ?
La fréquence est fixée par la politique de certification de chaque autorité. Chaque liste indique la date de sa prochaine publication, ce qui permet à un logiciel de savoir si celle dont il dispose est encore à jour. Pour les certificats qualifiés, les normes imposent que l'information de révocation soit rendue disponible dans des délais courts.
Guides associés
Termes associés
Prêt à mettre en pratique ces concepts ?
Certyneo vous permet de créer des enveloppes de signature conformes eIDAS en quelques clics, sans installation.