Definition and design of an optimal certificate revocation system
Définition et conception d'un système optimal de la révocation de certificats
Résumé
The Public Key Infrastructure (PKI) is a public key infrastructure whose objective is to meet needs such as public key authentication, access control and authorization functions. The support for these services determines the attributes contained in, as well as auxiliary control information such as policy and certification path constraints. The validation of the certificate goes through the verification of these attributes. A certificate is supposed to be used throughout its validity period. However, various circumstances may interrupt this validity. These circumstances include a name change, an association change, etc. Under such circumstances, the CA must revoke the certificate. Certificate revocation validation and verification services are expected or necessary in several contexts, we can cite some among many others: vehicular communications, (WWW), user authentication, etc. Vehicle communications are at the center of the vehicles of tomorrow and, more generally, of smart cities. Securing these communications is a critical element given the services in perspective. The security of inter-vehicle exchanges is based on the digital signature. This signature requires a key exchange infrastructure (PKI).RFC 5280 defines different revocation methods. Among these, we have a revocation method, which requires the periodic publication by the CA of a signed data structure called CRL (Certificate revocation list). This approach, which is the most widely used, is mature but expensive in terms of time and volume, and vehicular communications bring new constraints. This work relates to the verification of the revocation of X509 certificates and pseudonym certificates used in vehicular communications. Our goal is to reduce latency due to revocation checking of X509 and pseudonyms certificates. In this context, we have proposed a method of revocation, which implies the publication of the revocation lists in a public Blockchain. We then proposed a revocation method able to face the new constraints introduced by the vehicular environment. Our contributions have been validated by an implementation.
La Public Key Infrastructure(PKI) est une infrastructure à clés publique dont l’objectif est de répondre à des besoins tel que : l’authentification de clés publiques, le contrôle d'accès et les fonctions d'autorisation, l'identification et l'authentification déterministe et automatisée. La prise en charge de ces services détermine les attributs contenus dans le certificat, ainsi que les informations de contrôle auxiliaires telles que la politique et les contraintes de chemin de certification. La validation du certificat passe par la vérification de ces attributs. Un certificat délivré par une autorité de certification est censé être utilisé pendant toute sa période de validité. Cependant, diverses circonstances peuvent interrompre cette validité. Ces circonstances comprennent le changement de nom, le changement d’association et etc... Sous telles circonstances, l'autorité de certification doit révoquer le certificat. Les services de validation et de vérification de la révocation des certificats sont attendus ou nécessaires dans plusieurs contextes, nous pouvons en citer certains parmi tant d’autres: les communications véhiculaires, le (WWW), l’authentification des utilisateurs et etc. Les communications véhiculaires sont au centre des véhicules de demain et d’une manière plus générale des smart-cities. La sécurisation de ces réseaux est un élément critique au vu des services en perspective. La sécurité des échanges inter-véhicules est basée notamment sur la signature numérique. Cette même signature nécessite d’une infrastructure d’échange de clés (PKI). Le RFC 5280 défini différents méthodes de révocation. Parmi celles-ci nous avons une méthode de révocation qui implique la publication périodique de la part de la CA d’une structure de données signée appelée CRL(Certificate révocation list). Cette approche, qui est la plus utilisée, est mature mais coûteuse en temps et en volume et les communications véhiculaires apportent de nouvelles contraintes. Ces travaux portent sur la vérification de la révocation des certificats X509 et de type pseudonyme utilisés dans les communications véhiculaires. Notre objectif est de réduire la latence due à la vérification de la révocation des certificats X509 et pseudonymes. Nous avons dans ce contexte proposé une méthode de révocation impliquant la publication de la CRL dans une Blockchain de type publique. Nous avons ensuite proposé une méthode de révocation capable de faire face aux nouvelles contraintes introduites par le véhiculaire. Nos contributions ont été validées par une implémentation.
| Origine | Version validée par le jury (STAR) |
|---|