Summary

  • La révision 18 de BPSec COSE ajoute une section consacrée à OCSP: retirer rapidement la confiance à un certificat de longue durée exige un chemin en ligne vers le répondeur.
  • L’autorité de certification décide d’inscrire l’URI OCSP dans le certificat. Le nœud qui vérifie choisit sa politique de contrôle selon la possibilité de joindre ce serveur.

Le paquet a attendu un contact puis a franchi le réseau. Le bloc de sécurité COSE lui fournit une signature et un certificat; la vérification de la chaîne peut rejoindre une autorité de confiance. Reste la question qui exige une réponse vivante: ce certificat a-t-il été révoqué? RFC 6960 décrit OCSP, un échange en ligne. La nouvelle section du projet du 2 novembre s’attaque au fait qu’un réseau tolérant aux délais peut livrer le paquet sans offrir de chemin vers le répondeur. La version 17 n’avait pas cette section. Le registre IETF présente encore le texte comme un projet de norme en examen.

Deux décisions sont séparées.

L’autorité peut inclure une adresse OCSP; le vérificateur peut activer le contrôle, le conditionner à l’accès prévu ou suivre une autre politique locale. Le projet recommande OCSP quand la connectivité internet existe. Une URI inscrite dans le certificat ne crée aucune liaison radio. Le recours proposé à l’anycast ou à une répartition géographique est une façon de placer les répondeurs près de plusieurs enclaves IP éloignées.

Le projet fixe aussi l’horloge de validité du certificat à la date de création du paquet, et non à son arrivée. Cette preuve historique ne livre pas le statut actuel de révocation. Une autre voie consiste à émettre des certificats courts et renouvelés automatiquement selon RFC 8739, après validation en ligne du NODE-ID auprès de l’autorité selon RFC 9891. L’autorité peut être rapprochée des nœuds. Une clé compromise cesse de recevoir de nouveaux certificats; celui déjà émis garde sa fenêtre de validité. Aucun déploiement nommé ne fournit le journal comparant accès OCSP et décision du vérificateur pendant une coupure; ce journal départagerait les politiques.