le CA va recevoir des requêtes pour signature (CSR). Un fois ces requêtes signées, cela fait des certificats utilisables pour les fonctions prévues (les contraintes). La différence entre un CA et un certificat c'est le champs CA:FALSE ou CA:TRUE. Un CA c'est un certificat X.509 comme un certificat X.509 serveur, comme un certificat X.509 client, ...
La CRL c'est une liste qui contient les certificats révoqués par le l'autorité de certification, donc le CA. Celle-ci est signée par le CA et va contenir, grosso-modo, ça :
Donc toi tu prends cette CRL, tu contrôle la signature (et la chaîne entière, en vérifiant tout (y compris CRL)).
Et un la revoquation d'un CA c'est un peu différent, si je ne me trompe pas :
Tu signes le nouveau CA avec le CA que tu va révoquer, tu créés une CRL signée avec le nouveau CA contenant l'ancien CA. Mais ça je suis pas sûr.
Donc c'est relativement lourd comme procédure, en effet, mais ne pas la mettre en place, c'est utilisé du SSL pour dire qu'on fait du SSL, mais c'est du SSL sans sécurité.
Tu peux regarder si un outil existe et fait ce travail ou une librairie (qui existe certainement).
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell
[^] # Re: FreeWIFI : sécurité ?
Posté par Etienne Bagnoud . En réponse au journal [ubuntu inside] Quickly superbe ... et annonce : freetp et autowifi. Évalué à 2.
le CA va recevoir des requêtes pour signature (CSR). Un fois ces requêtes signées, cela fait des certificats utilisables pour les fonctions prévues (les contraintes). La différence entre un CA et un certificat c'est le champs CA:FALSE ou CA:TRUE. Un CA c'est un certificat X.509 comme un certificat X.509 serveur, comme un certificat X.509 client, ...
La CRL c'est une liste qui contient les certificats révoqués par le l'autorité de certification, donc le CA. Celle-ci est signée par le CA et va contenir, grosso-modo, ça :
Certificat_avec_ID_1: revoqué: date: ...
Certificat_avec_ID_2: revoqué: date: ...
Certificat_avec_ID_3: revoqué: date: ...
Donc toi tu prends cette CRL, tu contrôle la signature (et la chaîne entière, en vérifiant tout (y compris CRL)).
Et un la revoquation d'un CA c'est un peu différent, si je ne me trompe pas :
Tu signes le nouveau CA avec le CA que tu va révoquer, tu créés une CRL signée avec le nouveau CA contenant l'ancien CA. Mais ça je suis pas sûr.
Donc c'est relativement lourd comme procédure, en effet, mais ne pas la mettre en place, c'est utilisé du SSL pour dire qu'on fait du SSL, mais c'est du SSL sans sécurité.
Tu peux regarder si un outil existe et fait ce travail ou une librairie (qui existe certainement).
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell