Ce schéma illustre comment la requête OCSP est formée et envoyée vers le serveur OCSP.Ce schéma illustre comment la réponse OCSP est formée et envoyée vers le client OCSP. Cette réponse peut être : GOOD, REVOKED ou UNKNOWN.
La validation des certificats est une tâche plus complexe qu'il n'y paraît. Elle est traditionnellement effectuée par le client de la PKI. Une grande confiance est ainsi accordée au client pour ce traitement critique. Or une grande partie des clients PKI effectuent leur validation de manière encore incomplète ou imparfaite (en 2006). Par exemple, la non-automatisation de la récupération des CRL par les navigateurs web pose un problème quant à la mise à jour des informations.
OCSP permet de centraliser cette tâche au sein d'une PKI. Afin de valider un certificat, le client n'a plus à communiquer qu'avec une seule entité : le répondeur OCSP. On peut parler aussi d'autorité de validation (VA pour Validation Authority).
Avantage par rapport aux CRL
Plusieurs raisons peuvent amener à préférer le protocole OCSP aux traditionnelles CRL :
OCSP fournit des informations sur le statut du certificat plus à jour ;
avec OCSP, le client n'a plus besoin de récupérer lui-même la CRL. Vu la taille parfois importante de cette CRL, cela allège le trafic réseau ;
le client n'a plus à traiter lui-même la CRL. Cela permet l'économie d'un traitement relativement complexe ;
le répondeur OCSP permet de proposer des mécanismes de facturation au vendeur, et non pas à l'acheteur ;
les CRL peuvent être comparées à une « liste de mauvais clients » d'une banque. Cela constitue une fuite d'information non souhaitable.
Autres avantages
OCSP présente d'autres avantages en termes de déploiement des clients et d'architecture réseau :
c'est le répondeur OCSP qui récupère les différents certificats constitutifs d'une chaîne de certificats et les CRL. Cela simplifie les communications, car le client ne dispose pas forcément de la connectivité nécessaire à leur récupération (filtrage par un pare-feu, etc.) ;
le répondeur OCSP valide la remontée du chemin de certification. Le client fait donc l'économie de cet autre traitement consommateur en ressources ;
grâce au chaînage des répondeurs OCSP, le client ne communique qu'avec un seul répondeur, digne de confiance. Cela épargne au client des communications plus complexes.
Alice et Bob possèdent chacun un certificat de clé publique émis par Ivan ;
Alice veut effectuer une transaction avec Bob. Elle lui envoie donc son certificat contenant sa clé publique ;
Bob veut s'assurer que le certificat d'Alice n'a pas été révoqué. Il crée une requête OCSP contenant l'empreinte du certificat d'Alice et l'envoie à Ivan ;
Le répondeur OCSP d'Ivan vérifie le statut du certificat d'Alice dans la base de données de la CA ;
Le répondeur OCSP confirme la validité du certificat d'Alice en envoyant une réponse OCSP positive signée à Bob ;
Bob vérifie la signature cryptographique de la réponse ;
