Partager via

Certificats et clés publiques

  • Article

Les services de certificats constituent l’une des bases de l’infrastructure à clé publique (PKI) qui fournit les moyens de protéger et d’authentifier les informations. La relation entre un détenteur de certificat, l’identité du détenteur du certificat et la clé publique du détenteur du certificat est une partie critique de l’infrastructure à clé publique. Cette infrastructure est constituée des éléments suivants :

Paire de clés publique/privée

L’infrastructure à clé publique nécessite l’utilisation de paires de clés publiques/privées. Les mathématiques des paires de clés publiques/privées dépassent le cadre de cette documentation, mais il est important de noter la relation fonctionnelle entre une clé publique et une clé privée. Les algorithmes de chiffrement PKI utilisent la clé publique du récepteur d’un message chiffré pour chiffrer les données, ainsi que la clé privée associée et uniquement la clé privée associée pour déchiffrer le message chiffré.

De même, une signature numérique du contenu, décrite plus en détail ci-dessous, est créée avec la clé privée du signataire. La clé publique correspondante, disponible pour tout le monde, est utilisée pour vérifier cette signature. Le secret de la clé privée doit être maintenu, car l’infrastructure tombe en morceaux après la compromission de la clé privée.

Avec suffisamment de temps et de ressources, une paire de clés publique/privée peut être compromise, c’est-à-dire que la clé privée peut être découverte. Plus la clé est longue, plus il est difficile d’utiliser la force brute pour découvrir la clé privée. Dans la pratique, des clés suffisamment fortes peuvent être utilisées pour rendre impossible la détermination de la clé privée en temps opportun, ce qui fait de l’infrastructure à clé publique un mécanisme de sécurité viable.

Une clé privée peut être stockée, dans un format protégé, sur un disque, auquel cas elle ne peut être utilisée qu’avec cet ordinateur spécifique, sauf si elle est physiquement déplacée vers un autre ordinateur. Une alternative consiste à disposer d’une clé sur un carte intelligent qui peut être utilisé sur un autre ordinateur, à condition qu’il dispose d’un lecteur de carte intelligent et d’un logiciel de prise en charge.

La clé publique, mais pas la clé privée, de l’objet d’un certificat numérique est incluse dans le cadre de la demande de certificat. (Par conséquent, une paire de clés publique/privée doit exister avant d’effectuer la demande de certificat.) Cette clé publique fait partie du certificat émis.

Demande de certificat

Avant l’émission d’un certificat, une demande de certificat doit être générée. Cette requête s’applique à une entité, par exemple, un utilisateur final, un ordinateur ou une application. Pour la discussion, supposons que l’entité est vous-même. Les détails de votre identité sont inclus dans la demande de certificat. Une fois la demande générée, elle est soumise à une autorité de certification . L’autorité de certification utilise ensuite vos informations d’identité pour déterminer si la demande répond aux critères de l’autorité de certification pour l’émission d’un certificat. Si l’autorité de certification approuve la demande, elle vous émet un certificat, en tant qu’entité nommée dans la demande.

L’autorité de certification

Avant d’émettre votre certificat, l’autorité de certification vérifie votre identité. Lorsque le certificat est émis, votre identité est liée au certificat, qui contient votre clé publique. Votre certificat contient également la signature numérique de l’autorité de certification (qui peut être vérifiée par toute personne qui reçoit votre certificat).

Étant donné que votre certificat contient l’identité de l’autorité de certification émettrice, une partie intéressée qui approuve cette autorité de certification peut étendre cette approbation à votre certificat. L’émission d’un certificat n’établit pas l’approbation, mais transfère l’approbation. Si le consommateur de certificat n’approuve pas l’autorité de certification émettrice, il n’approuve pas (ou du moins ne doit pas) approuver votre certificat.

Une chaîne de certificats signés permet également de transférer l’approbation à d’autres autorités de certification. Cela permet aux parties qui utilisent des autorités de certification différentes d’être toujours en mesure d’approuver des certificats (à condition qu’il existe une autorité de certification commune dans la chaîne, c’est-à-dire une autorité de certification approuvée par les deux parties).

Le certificat

En plus de votre clé publique et de l’identité de l’autorité de certification émettrice, le certificat émis contient des informations sur les objectifs de votre clé et de votre certificat. En outre, il inclut le chemin d’accès à la liste des certificats révoqués de l’autorité de certification et spécifie la période de validité du certificat (dates de début et de fin).

En supposant que le consommateur de certificat approuve l’autorité de certification émettrice pour votre certificat, le consommateur de certificat doit déterminer si le certificat est toujours valide en comparant les dates de début et de fin du certificat avec l’heure actuelle et en vérifiant que votre certificat ne figure pas dans la liste des certificats révoqués de l’autorité de certification.

Liste de révocation de certificats

En supposant que le certificat est utilisé pendant une période valide et que le consommateur du certificat approuve l’autorité de certification émettrice, il existe un autre élément pour que le consommateur de certificat case activée avant d’utiliser le certificat : la liste de révocation de certificats (CRL). Le consommateur de certificat vérifie la liste de révocation de certificats de l’autorité de certification (le chemin d’accès inclus en tant qu’extension dans votre certificat) pour s’assurer que votre certificat ne figure pas dans la liste des certificats qui ont été révoqués. Les listes de révocation de certificats existent, car il arrive qu’un certificat n’ait pas expiré, mais qu’il ne peut plus être approuvé. Régulièrement, l’autorité de certification publie une liste de révocation de certificats mise à jour. Les consommateurs de certificats sont chargés de comparer les certificats à la liste de révocation de certificats actuelle avant de considérer le certificat comme digne de confiance.

Votre clé publique utilisée pour le chiffrement

Si un expéditeur souhaite chiffrer un message avant de vous l’envoyer, il récupère d’abord votre certificat. Une fois que l’expéditeur a déterminé que l’autorité de certification est approuvée et que votre certificat est valide et non révoqué, l’expéditeur utilise votre clé publique (rappelez-vous qu’elle fait partie du certificat) avec des algorithmes de chiffrement pour chiffrer le message en textechiffré. Lorsque vous recevez le texte chiffré, vous utilisez votre clé privée pour déchiffrer le texte chiffré.

Si un tiers intercepte le message électronique de texte chiffré, le tiers ne pourra pas le déchiffrer sans accéder à votre clé privée.

Notez que la plupart des activités répertoriées ici sont gérées par un logiciel, et non directement par l’utilisateur.

Votre clé publique utilisée pour la vérification de la signature

Une signature numérique est utilisée comme confirmation qu’un message n’a pas été modifié et comme confirmation de l’identité de l’expéditeur du message. Cette signature numérique dépend de votre clé privée et du contenu du message. En utilisant le message comme entrée et votre clé privée, les algorithmes de chiffrement créent la signature numérique. Le contenu du message n’est pas modifié par le processus de signature. Un destinataire peut utiliser votre clé publique (après avoir vérifié la validité de votre certificat, l’autorité de certification émettrice et les status de révocation) pour déterminer si la signature correspond au contenu du message et pour déterminer si le message a été envoyé par vous.

Si un tiers intercepte le message prévu, le modifie (même légèrement) et le transmet au destinataire, le destinataire, après examen du message et de la signature, peut déterminer que le message est suspect. De même, si un tiers crée un message et l’envoie avec une fausse signature numérique sous l’apparence qu’il provient de vous, le destinataire pourra utiliser votre clé publique pour déterminer que le message et la signature ne correspondent pas.

La non-répudiation est également prise en charge par les signatures numériques. Si l’expéditeur d’un message signé refuse d’envoyer le message, le destinataire peut utiliser la signature pour réfuter cette revendication.

Notez que la plupart des activités répertoriées ici sont également gérées par des logiciels, et non directement par l’utilisateur.

Rôle Services de certificats Microsoft

Les services de certificats Microsoft ont pour rôle d’émettre des certificats ou de refuser des demandes de certificats, comme indiqué par les modules de stratégie, qui sont chargés de garantir l’identité du demandeur de certificat. Les services de certificats offrent également la possibilité de révoquer un certificat et de publier la liste de révocation de certificats. Les services de certificats peuvent également distribuer de manière centralisée (par exemple, à un service d’annuaire) les certificats émis. La possibilité d’émettre, de distribuer, de révoquer et de gérer des certificats, ainsi que la publication de listes de révocation de certificats, fournissent les fonctionnalités nécessaires pour l’infrastructure à clé publique.