Lorsqu'une autorité de certification émet un certificat numérique, elle définit une période de validité : une date de début et une date d'expiration. Dans des conditions normales, le certificat est approuvé pendant toute cette fenêtre, puis rejeté ensuite. Mais que se passe-t-il lorsqu'un certificat doit être invalidé avant son expiration ?
C'est là qu'intervient la révocation de certificats. La révocation est le processus par lequel une CA déclare qu'un certificat précédemment émis ne doit plus être approuvé, même s'il n'a pas encore expiré. Sans révocation, un certificat compromis resterait valide jusqu'à son expiration naturelle, ce qui pourrait laisser à un attaquant des jours, des semaines ou des mois pour usurper l'identité d'un serveur légitime, signer du code malveillant ou intercepter des communications chiffrées.
L'écosystème PKI propose deux mécanismes principaux pour communiquer le statut de révocation aux clients : les listes de révocation de certificats (CRL) et le protocole OCSP (Online Certificate Status Protocol). Chaque approche présente des forces et des compromis distincts, et leur compréhension est essentielle pour quiconque gère des certificats à grande échelle.
