Récemment Mozilla a annoncé le lancement d'un nouveau mécanisme de détection de certificats révocation appelé "CRLite" et qui se trouve dans les versions nocturnes de Firefox. Ce nouveau mécanisme permet d'organiser une vérification révocation effective du certificat par rapport à une base de données hébergée sur le système d'un utilisateur.
La vérification du certificat utilisée jusqu'à présent avec l'utilisation de services externes basés Dans le protocole OCSP (Protocole d'état du certificat en ligne) nécessite un accès garanti au réseau, ce qui entraîne un retard notable dans le traitement de la requête (en moyenne 350 ms) et présente des problèmes de confidentialité (les serveurs répondant aux requêtes OCSP obtiennent des informations sur des certificats spécifiques, qui peuvent être utilisées pour juger quels sites un utilisateur ouvre).
Aussi il y a possibilité de vérification locale par rapport aux CRL (Liste de révocation des certificats), mais l'inconvénient de cette méthode est la grande taille des données téléchargées: Actuellement, la base de données de révocation de certificats occupe environ 300 Mo et sa croissance se poursuit.
Firefox utilise la liste noire centralisée OneCRL depuis 2015 pour bloquer les certificats compromis et révoqués par les autorités de certification ainsi que l'accès au service de navigation sécurisée de Google afin de déterminer une éventuelle activité malveillante.
OneCRL, comme CRLSets dans Chrome, agit comme un lien intermédiaire qui agrège les listes CRL des autorités de certification et fournit un service OCSP centralisé unique pour vérifier les certificats révoqués, ce qui permet de ne pas envoyer de demandes directement aux autorités de certification.
Par défaut, s'il n'est pas possible de vérifier via OCSP, le navigateur considère que le certificat est valide. Ainsi si le service n'est pas disponible en raison de problèmes de réseau et restrictions du réseau interne ou qu'il peut être bloqué par des attaquants lors d'une attaque MITM. Pour éviter de telles attaques, la technique Must-Staple est mise en œuvre, qui permet à l'erreur d'accès OCSP ou à l'inaccessibilité OCSP d'être interprétée comme un problème avec le certificat, mais cette fonctionnalité est facultative et nécessite un enregistrement spécial du certificat.
À propos de CRLite
CRLite vous permet d'apporter des informations complètes sur tous les certificats révoqués dans une structure facilement renouvelable seulement 1 Mo, permettant de stocker l'intégralité de la base de données CRL côté client. Le navigateur pourra synchroniser quotidiennement sa copie des données dans les certificats révoqués et cette base de données sera disponible dans toutes les conditions.
CRLite combine les informations de Certificate Transparency, l'enregistrement public de tous les certificats émis et révoqués et les résultats de l'analyse des certificats Internet (diverses listes CRL de centres de certification sont collectées et des informations sur tous les certificats connus sont ajoutées).
Les données sont emballées à l'aide de filtres Bloom, une structure probabiliste qui permet une fausse détermination de l'élément manquant, mais exclut l'omission d'un élément existant (c'est-à-dire qu'avec une certaine probabilité, des faux positifs sont possibles pour un certificat valide, mais les certificats révoqués sont garantis d'être détectés).
Pour éliminer les fausses alarmes, CRLite a introduit des niveaux de filtre correctif supplémentaires. Une fois la structure construite, tous les enregistrements source sont répertoriés et les fausses alarmes sont détectées.
Sur la base des résultats de cette vérification, une structure supplémentaire est créée qui passe en cascade sur la première et corrige les fausses alarmes qui se sont produites. L'opération est répétée jusqu'à ce que les faux positifs soient complètement exclus lors de la vérification.
habituellemental, pour couvrir complètement toutes les données, il suffit de créer 7 à 10 couches. Étant donné que l'état de la base de données dû à la synchronisation périodique est légèrement en retard sur l'état actuel de la CRL, la vérification des nouveaux certificats émis après la dernière mise à jour de la base de données CRLite est effectuée à l'aide du protocole OCSP, y compris l'utilisation de la technique d'agrafage OCSP .
L'implémentation de CRLite par Mozilla est publiée sous la licence gratuite MPL 2.0. Le code pour générer la base de données et les composants serveur sont écrits en Python et Go. Les parties client ajoutées à Firefox pour lire les données de la base de données sont préparées dans le langage Rust.
source: https://blog.mozilla.org/