Vous êtes ici: accueil » documentation » base » basepki
Cette page présente le concept d'une PKI et décrit ses composantes.
La cryptographie à clés publiques emploie une combinaison de clefs publiques et privées, de signatures numériques, des certificats numériques, et des autorités de certification (ACs), pour répondre à des nouvelles exigences de sécurité. Une PKI permet de centraliser l'ensemble de ces besoins en un seul point.
Cependant, ceci ne peut pas être accompli dans un vide. Par exemple, vous devez savoir :
Qui est votre AC ?
Où stockez-vous la clef privée ?
Comment savez-vous que la clef privée de la personne ou du serveur avec qui vous vous voulez communiquer est sécurisée ?
Où trouvez-vous des certificats ?
La Norme X.509 définit une PKI comme un “ensemble de matériels, de logiciels, de personnes et de procédures requis pour créer, contrôler, stocker, distribuer et révoquer les certificats basés sur la cryptographie à clés publiques.”
On peut ajouter qu'une PKI est un ensemble de technologies, organisations, procédures et pratiques qui supportent l’implémentation et l’exploitation de certificats basés sur la cryptographie à clés publiques.
Une PKI comprend au minimum les éléments suivants :
Autorités de certification (ACs) : Elles sont responsables de la délivrance et de la révocation des certificats.
Autorités d'enregistrement (AE) : Elles vérifient le lien entre les clefs publiques et les identités des propriétaires (vérification de l'identité des demandeurs de certificats). L'AE est responsable des fonctions qui lui sont déléguées par l'AC, en vertu de la politique de certification (PC).
Propriétaires de certificats: Les personnes, les machines ou les agents de logiciel pour lesquels des certificats ont été émis et peuvent les employer pour signer, chiffrer, etc.
Dépôts : Ils stockent et rendent disponibles les certificats et les listes de révocation.
Politique de certification (PC) : Elle définit les processus organisationnels et les informations de sécurité, ainsi que les procédés et les principes pour l'usage de la cryptographie.
Un PKI effectue les fonctions suivantes :
Enregistrement : C'est un procédé par lequel le propriétaire qui sera le sujet du certificat se fera connaître auprès d'une AC. Ceci peut aussi se faire en passant par l'entremise d'une AE ou directement par l'AC. Le nom et les attributs utilisés pour identifier le propriétaire doivent être validés en relation avec les pratiques de certification (PC) dont dépend l'AC. L'AC suit alors les directives de la politique de certification (PC) pour valider si les détails fournis par le propriétaire sont corrects, avant de délivrer un certificat.
Certification : C'est un processus par lequel une AC délivre un certificat pour un propriétaire de clé publique et adresse ce certificat au propriétaire ou le publie dans un dépôt de stockage.
Génération de clé : Dans certains cas, le propriétaire peut générer des paires de clefs depuis un environnement local et transmettre la requête d'enregistrement vers l'AC. Dans d'autres cas, les paires de clefs peuvent être générées par une AC ou une AE via un générateur de clefs. Dans ce cas, le processus de distribution de la clef privée et du certificat vers le propriétaire sera réalisé de manière sécurisée.
Recouvrement de clefs : Les clefs utilisées pour chiffrer des données, pour le transport ou les échanges peuvent avoir besoin d'être archivées pour satisfaire à des exigences de politique de sécurité. L'opération d'archivage nécessite par ailleurs une étape de récupération en cas de perte. Le recouvrement est un processus qui autorise la récupération de clefs quand une clef est perdue et que des informations précédemment chiffrées ont besoin d'être utilisées. Les opérations d'archivage et de recouvrement peuvent être réalisées soit par une AC soit par un système de recouvrement de clefs séparé de l'AC.
Mise à jour des clefs : Toutes les clefs doivent pouvoir être remplacées sur une base régulière, quand une clef expire ou qu'elle est compromise. Si la mise à jour des clefs se produit en réponse à une expiration de sa date de péremption, la transition vers la nouvelle clef doit se produire avec facilité, cela exige néanmoins des mécanismes de support de notification de mise à jour. Dans le cas d'une compromission de clef, le certificat doit être déclaré invalide, et la nouvelle validité du certificat et sa disponibilité doivent être annoncées. Le support de mise à jour pour les clefs d'AC est aussi nécessaire. Utilisée de façon transparente, cette technique sera, avec le temps, essentielle à l'opération de lissage de la PKI. La mise à jour des clefs et des certificats d'AC peut être supportée par la même procédure et le même protocole que pour l'expiration des clefs. En complément, il est nécessaire d'avoir un support pour la notification hors connexion (out-of-band) quand un événement se produit, tel qu'une compromission de clef d'AC. Une compromission de clef d'AC est un événement catastrophique, cela mène à la révocation du certificat d'AC et de tous les certificats publiés qui se subordonnent à elle.
Certification croisée : Le processus de certification croisée permet à des utilisateurs d'un domaine de certification de faire confiance à des certificats délivrés par une AC d'un domaine de certification différent. On définit un certificat croisé comme un certificat publié par une AC pour certifier la paire de clefs privée/publique d'une autre AC. Un certificat croisé peut être publié dans le même domaine administratif ou à travers d'autres domaines administratifs. La certification croisée peut être utilisée dans une seule direction (une AC certifie une autre AC) ou dans les deux sens (les AC se certifient l'une et l'autre).
Révocation : Dans la plupart des cas, un certificat reste valide jusqu'à ce que sa période de validité expire. Il y a, cependant, un certain nombre de scénarii qui rendent nécessaire la révocation avant la fin de la période de validité d'un certificat. Ceux-ci incluent :
le propriétaire change de nom
un employé quitte la société qui lui avait délivré le certificat
la clé privée du propriétaire est compromise
etc.
Les ACs sont responsables du maintien de l'information sur l'état des certificats. Cela inclut le support pour la révocation des certificats qui sont devenus invalides avant la période d'expiration du certificat. Les CRL peuvent être utilisées comme mécanisme pour transporter des informations sur le statut des certificats révoqués. Si un certificat est révoqué, une entrée est ajoutée à la prochaine CRL publiée. Alternativement, les ACs peuvent utiliser un mécanisme de notification de révocation en ligne tel que OCSP (Online Certificate Status Protocol) pour réduire le temps de latence entre la révocation effectuée depuis l'autorité de certification et sa notification auprès de l'entité d'extrémité (EE). A la différence du classique mécanisme de publication de CRL, l'entité d'extrémité (EE) employant des méthodes de service en ligne pour la validation de certificat, doit pouvoir identifier le fournisseur du service en ligne.
