Partager via

Certificats et clés publiques

  • Article

Les services de certificats constituent une base pour l’infrastructure à clé publique (PKI) qui fournit les moyens de protéger et d’authentifier les informations. La relation entre un titulaire de certificat, l’identité du titulaire de certificat et la clé publique du titulaire de certificat est une partie essentielle de l’infrastructure à clé publique. Cette infrastructure est constituée des parties suivantes :

Paire de clés publique/privée

L’infrastructure à clé publique nécessite l’utilisation d'paires de clés publiques/privées. Les mathématiques des paires de clés publiques/privées dépassent la portée de cette documentation, mais il est important de noter la relation fonctionnelle entre une clé publique et privée. Les algorithmes de chiffrement pKI utilisent la clé publique du récepteur d’un message chiffré pour chiffrer les données, ainsi que la clé privée associée et uniquement la clé privée associée pour déchiffrer le message chiffré.

De même, une signature numérique du contenu, décrite plus en détail ci-dessous, est créée avec la clé privée du signataire. La clé publique correspondante, qui est disponible pour tous, est utilisée pour vérifier cette signature. Le secret de la clé privée doit être maintenu, car le framework se sépare après la compromission de la clé privée.

Étant donné suffisamment de temps et de ressources, une paire de clés publique/privée peut être compromise, c’est-à-dire que la clé privée peut être découverte. Plus la clé est longue, plus il est difficile d’utiliser la force brute pour découvrir la clé privée. En pratique, des clés suffisamment fortes peuvent être utilisées pour rendre impossible la détermination de la clé privée en temps voulu, ce qui rend l’infrastructure à clé publique un mécanisme de sécurité viable.

Une clé privée peut être stockée, au format protégé, sur un disque, auquel cas elle ne peut être utilisée qu’avec cet ordinateur spécifique, sauf s’il est physiquement déplacé vers un autre ordinateur. Une alternative consiste à avoir une clé sur une carte à puce qui peut être utilisée sur un autre ordinateur, à condition qu’elle dispose d’un lecteur de carte à puce et d’un logiciel de prise en charge.

La clé publique, mais pas la clé privée, de l’objet d’un certificat numérique est incluse dans le cadre de la demande de certificat . (Par conséquent, une paire de clés publique/privée doit exister avant d’effectuer la demande de certificat.) Cette clé publique fait partie du certificat émis.

Demande de certificat

Avant d’émettre un certificat, une demande de certificat doit être générée. Cette requête s’applique à une entité, par exemple un utilisateur final, un ordinateur ou une application. Pour discussion, supposons que l’entité est vous-même. Les détails de votre identité sont inclus dans la demande de certificat. Une fois la demande générée, elle est envoyée à une autorité de certification (CA). L’autorité de certification utilise ensuite vos informations d’identité pour déterminer si la demande répond aux critères de l’autorité de certification pour émettre un certificat. Si l’autorité de certification approuve la demande, elle émet un certificat à vous, en tant qu’entité nommée dans la demande.

Autorité de certification

Avant d’émettre votre certificat, l’autorité de certification vérifie votre identité. Lorsque le certificat est émis, votre identité est liée au certificat, qui contient votre clé publique. Votre certificat contient également la signature numérique de l’autorité de certification (qui peut être vérifiée par toute personne qui reçoit votre certificat).

Étant donné que votre certificat contient l’identité de l’autorité de certification émettrice, une partie intéressée qui approuve cette autorité de certification peut étendre cette approbation à votre certificat. L’émission d’un certificat n’établit pas de confiance, mais transfère l’approbation. Si le consommateur de certificats ne fait pas confiance à l’autorité de certification émettrice, il ne doit pas (ou au moins ne doit pas) approuver votre certificat.

Une chaîne de certificats signés permet également le transfert de confiance vers d’autres autorités de certification. Cela permet aux parties qui utilisent des autorités de certification différentes de pouvoir toujours approuver des certificats (à condition qu’il existe une autorité de certification commune dans la chaîne, c’est-à-dire une autorité de certification approuvée par les deux parties).

Certificat

En plus de votre clé publique et de l’identité de l’autorité de certification émettrice, le certificat émis contient des informations sur les objectifs de votre clé et de votre certificat. En outre, il inclut le chemin d’accès à la liste des certificats révoqués de l’autorité de certification et spécifie la période de validité du certificat (dates de début et de fin).

En supposant que le consommateur de certificats approuve l’autorité de certification émettrice pour votre certificat, le consommateur de certificats doit déterminer si le certificat est toujours valide en comparant les dates de début et de fin du certificat avec l’heure actuelle et en vérifiant que votre certificat ne figure pas dans la liste des certificats révoqués de l’autorité de certification.

Liste de révocation de certificats

En supposant que le certificat est utilisé dans une période valide et que le consommateur de certificats approuve l’autorité de certification émettrice, il existe un autre élément pour le consommateur de certificat à vérifier avant d’utiliser le certificat : la liste de révocation de certificats (CRL). Le consommateur de certificats vérifie la liste de révocation de certificats de l’autorité de certification (chemin d’accès auquel elle est incluse en tant qu’extension dans votre certificat) pour vous assurer que votre certificat n’est pas dans la liste des certificats qui ont été révoqués. Les listes de révocation de certificats existent, car il existe des moments où un certificat n’a pas expiré, mais il ne peut plus être approuvé. Régulièrement, l’autorité de certification publiera une liste de révocation de certificats mise à jour. Les consommateurs de certificats sont responsables de la comparaison des certificats à la liste de révocation de certificats actuelle avant de considérer le certificat digne de confiance.

Votre clé publique utilisée pour le chiffrement

Si un expéditeur souhaite chiffrer un message avant de l’envoyer à vous, l’expéditeur récupère d’abord votre certificat. Une fois que l’expéditeur détermine que l’autorité de certification est approuvée et que votre certificat est valide et non révoqué, l’expéditeur utilise votre clé publique (rappelez-vous qu’il fait partie du certificat) avec des algorithmes de chiffrement pour chiffrer le message texte en clair dans texte chiffré. Lorsque vous recevez le texte chiffré, vous utilisez votre clé privée pour déchiffrer le texte chiffré.

Si un tiers intercepte le message électronique de texte chiffré, le tiers ne pourra pas le déchiffrer sans accéder à votre clé privée .

Notez que la majeure partie des activités répertoriées ici sont gérées par logiciel, et non directement par l’utilisateur.

Votre clé publique utilisée pour la vérification de signature

Une signature numérique est utilisée comme confirmation qu’un message n’a pas été modifié et comme confirmation de l’identité de l’expéditeur du message. Cette signature numérique dépend de votre clé privée et du contenu du message. À l’aide du message comme entrée et de votre clé privée, les algorithmes de chiffrement créent la signature numérique. Le contenu du message n’est pas modifié par le processus de signature. Un destinataire peut utiliser votre clé publique (après avoir vérifié la validité de votre certificat, l’autorité de certification émettrice et l’état de révocation) pour déterminer si la signature correspond au contenu du message et déterminer si le message a été envoyé par vous.

Si un tiers intercepte le message prévu, le modifie (même légèrement) et le transfère et la signature d’origine au destinataire, le destinataire, lors de l’examen du message et de la signature, pourra déterminer que le message est suspect. De même, si un tiers crée un message et l’envoie avec une signature numérique factice sous la forme qu’il provient de vous, le destinataire pourra utiliser votre clé publique pour déterminer que le message et la signature ne correspondent pas les uns aux autres.

non répudiation est également prise en charge par les signatures numériques. Si l’expéditeur d’un message signé refuse l’envoi du message, le destinataire peut utiliser la signature pour réfuter cette revendication.

Notez que la majeure partie des activités répertoriées ici sont également gérées par les logiciels, et non directement par l’utilisateur.

Rôle Services de certificats Microsoft

Les services de certificats Microsoft ont le rôle d’émettre des certificats ou de refuser des demandes de certificats, comme indiqué par les modules de stratégie, qui sont chargés de garantir l’identité de l’demandeur de certificat. Les services de certificats permettent également de révoquer un certificat, ainsi que de publier la liste de révocation de certificats. Les services de certificats peuvent également distribuer de manière centralisée (par exemple, à un service d’annuaire) des certificats émis. La possibilité d’émettre, de distribuer, de révoquer et de gérer des certificats, ainsi que la publication de listes de révocation de certificats, fournit les fonctionnalités nécessaires pour l’infrastructure à clé publique.