Conséquences de l'échec doux OCSP

Cette page donne un aperçu des avantages et inconvénients en termes de mécanisme d'échec doux OCSP.

Avant d'examiner les avantages et les inconvénients, commençons par récapituler rapidement ce que signifie ce paramètre :

Veuillez noter : Tous ces exemples décrivent le comportement d'une authentification lorsque le supplicant possède un certificat valide (non expiré, émis par une AC de confiance).

Échec doux = Activé

Si un problème survient lors de l'interrogation du répondeur OCSP, comme un délai d'attente ou des données incorrectes, l'application considère le statut de révocation du certificat comme «valide'.

Échec doux = Désactivé

Si un problème survient lors de l'interrogation du répondeur OCSP, comme un délai d'attente ou des données incorrectes, l'application considère le statut de révocation du certificat comme «révoqué'.

Si vous utilisez OCSP-Autodetect et que le certificat client n'inclut pas d'URL de répondeur OCSP, l'application considère le statut de révocation du certificat comme «révoqué'.

Avantages et inconvénients

Échec doux activé

Avantages

1. Meilleure disponibilité et moins d'interruptions

   • Les utilisateurs sont moins susceptibles de subir des échecs d'authentification soudains dus à des problèmes réseau transitoires ou à des pannes temporaires du répondeur OCSP.

   • Améliore l'expérience utilisateur et réduit les appels au support liés aux problèmes de « impossibilité de se connecter » causés uniquement par la connectivité OCSP ou des problèmes de service.

2. Meilleure tolérance aux pannes du service OCSP

   • Si le fournisseur d'hébergement OCSP subit des indisponibilités ou des problèmes liés aux certificats, les authentifications réussiront toujours.

3. Impact minimal sur la continuité des activités

   • Particulièrement important dans les environnements où les temps d'arrêt ont un coût élevé (par ex. infrastructures critiques, services d'urgence ou entreprises 24/7).

Inconvénients

1. Risque de sécurité : des certificats révoqués peuvent être acceptés

   • Une défaillance dans la vérification du statut de révocation par le serveur RADIUS, due à l'indisponibilité de l'OCSP ou à d'autres problèmes, entraînera l'acceptation d'un certificat révoqué.

   • Cela sape le modèle de confiance de l'authentification basée sur des certificats et peut être exploité si un attaquant provoque délibérément des pannes OCSP.

2. Manque de visibilité sur les problèmes au niveau du système

   • Si le système contourne silencieusement les vérifications de révocation, les administrateurs pourraient ne pas remarquer immédiatement qu'un répondeur OCSP est en panne ou mal configuré, prolongeant la fenêtre de vulnérabilité.

Échec doux désactivé

Avantages

1. Garantie de sécurité plus élevée

   • Assure que tout certificat qui ne peut pas être positivement validé auprès du répondeur OCSP est rejeté.

   • Protège contre l'utilisation de certificats révoqués ou autrement compromis.

2. Signaux opérationnels clairs

   • Si l'authentification commence soudainement à échouer, cela impose une attention rapide à la disponibilité ou à la configuration de l'OCSP.

   • Les administrateurs prennent immédiatement conscience de tout problème de connectivité ou de chaîne de confiance car aucun utilisateur ne peut s'authentifier tant que la vérification OCSP n'est pas réussie.

Inconvénients

1. Point de défaillance unique

   • Si le répondeur OCSP est hors service, victime d'une attaque DDoS, inaccessible ou mal configuré, toutes les authentifications par certificats valides échouent.

   • Peut provoquer des perturbations commerciales importantes et une avalanche d'appels au support.

2. Dépendance à la disponibilité du service OCSP

   • Implique que votre service OCSP doit être très disponible et faire l'objet d'une surveillance robuste.

   • Nécessite une planification complète de basculement (par ex. plusieurs répondeurs OCSP, équilibrage de charge ou redondance) pour prévenir des pannes massives.

   • Nécessite une planification pour la mise à jour du répondeur

3. Frustration possible pour les utilisateurs

   • Les utilisateurs ne peuvent pas se connecter même s'ils disposent de certificats parfaitement valides, simplement parce que la vérification OCSP ne peut pas être effectuée.