Conséquences de l’échec à la validation OCSP

Cette page fournit un aperçu des avantages et des inconvénients du mécanisme d’échec à la validation OCSP.

Avant d’examiner les avantages et les inconvénients, commençons par rappeler rapidement ce que signifie ce paramètre :

Veuillez noter : tous ces exemples décrivent le comportement d’une authentification où le demandeur dispose d’un certificat valide (non expiré, émis par une autorité de certification de confiance).

Soft-fail = Activé

Si un problème survient lors de l’interrogation du serveur OCSP, par exemple un délai d’attente ou des données incorrectes, l’application traite l’état de révocation du certificat comme « bon'.

Soft-fail = Désactivé

Si un problème survient lors de l’interrogation du serveur OCSP, par exemple un délai d’attente ou des données incorrectes, l’application traite l’état de révocation du certificat comme « révoqué'.

Si vous utilisez OCSP-Autodetect et que le certificat client n’inclut pas d’URL de serveur OCSP, l’application traite l’état de révocation du certificat comme « révoqué'.

Avantages et inconvénients

Soft-fail activé

Avantages

1. Disponibilité accrue et moins d’interruptions

   • Les utilisateurs sont moins susceptibles de subir des échecs d’authentification soudains en raison de problèmes réseau transitoires ou de pannes temporaires du serveur OCSP.

   • Améliore l’expérience utilisateur et réduit les appels au support liés aux problèmes de « connexion impossible » causés uniquement par la connectivité OCSP ou des problèmes de service.

2. Meilleure tolérance aux pannes du service OCSP

   • Si le fournisseur hébergeant OCSP subit une indisponibilité ou des problèmes liés aux certificats, les authentifications réussiront quand même.

3. Impact minimal sur la continuité d’activité

   • Particulièrement important dans les environnements où les temps d’arrêt ont un coût élevé (par exemple, infrastructures critiques, services d’urgence ou entreprises fonctionnant 24 h/24 et 7 j/7).

Inconvénients

1. Risque de sécurité : des certificats révoqués peuvent être acceptés

   • Une défaillance de la vérification de l’état de révocation sur le serveur RADIUS, due à l’indisponibilité d’OCSP ou à d’autres problèmes, entraînera l’acceptation d’un certificat révoqué.

   • Cela affaiblit le modèle de confiance de l’authentification basée sur les certificats et peut être exploité si un attaquant provoque délibérément des échecs OCSP.

2. Manque de visibilité sur les problèmes à l’échelle du système

   • Si le système contourne silencieusement les contrôles de révocation, les administrateurs pourraient ne pas remarquer immédiatement qu’un serveur OCSP est hors service ou mal configuré, ce qui prolonge la fenêtre de vulnérabilité.

Soft-fail désactivé

Avantages

1. Assurance de sécurité plus élevée

   • Garantit que tout certificat qui ne peut pas être validé positivement auprès du serveur OCSP est rejeté.

   • Protège contre l’utilisation de certificats révoqués ou autrement compromis.

2. Signaux opérationnels clairs

   • Si l’authentification commence soudainement à échouer, cela impose d’examiner rapidement la disponibilité ou les problèmes de configuration d’OCSP.

   • Les administrateurs sont immédiatement informés de tout problème de connectivité ou de chaîne de confiance, car aucun utilisateur ne peut s’authentifier tant que la vérification OCSP n’a pas réussi.

Inconvénients

1. Point de défaillance unique

   • Si le serveur OCSP est hors service, attaqué par DDOS, inaccessible ou mal configuré, toutes les authentifications avec certificat valide échouent.

   • Peut provoquer d’importantes perturbations métier et un flot d’appels au support.

2. Dépendance à la disponibilité du service OCSP

   • Implique que votre service OCSP doit être hautement disponible et surveillé de manière rigoureuse.

   • Nécessite une planification approfondie du basculement (par exemple, plusieurs serveurs OCSP, équilibrage de charge ou redondance) pour éviter des pannes massives.

   • Nécessite une planification pour la mise à jour du serveur

3. Frustration possible pour les utilisateurs

   • Les utilisateurs ne peuvent pas se connecter même s’ils disposent de certificats parfaitement valides, simplement parce que la vérification OCSP ne peut pas être effectuée.