PKI - Public Key Infrastructure

cr  25.06.2021      r+  25.06.2021      r-  08.05.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

Une « infrastructure à clé publique » (PKI) est un ensemble de rôles, de politiques, de matériel, de logiciels et de procédures nécessaires pour créer, gérer, distribuer, utiliser, stocker et révoquer des certificats numériques et gérer le chiffrement à clé publique. Le but d'une PKI est de faciliter le transfert électronique sécurisé d'informations pour une gamme d'activités de réseau telles que le commerce électronique, les services bancaires par Internet et le courrier électronique confidentiel. Il est requis pour les activités où de simples mots de passe sont une méthode d'authentification inadéquate et une preuve plus rigoureuse est requise pour confirmer l'identité des parties impliquées dans la communication et pour valider les informations transférées.

En cryptographie, une PKI est un arrangement qui lie les clés publiques aux identités respectives des entités (comme les personnes et les organisations). La liaison est établie par le biais d'un processus d'enregistrement et de délivrance de certificats auprès d'une « autorité de certification » (AC) et par celle-ci. Selon le niveau d'assurance de la reliure, cela peut être effectué par un processus automatisé ou sous supervision humaine. Lorsqu'elle est effectuée sur un réseau, cela nécessite l'utilisation d'un protocole sécurisé d'inscription de certificat ou de gestion de certificat tel que CMP.

Le rôle PKI qui peut être délégué par une « autorité de certification » (AC) pour assurer un enregistrement valide et correct est appelé une « autorité d'enregistrement » (AE). Fondamentalement, une « autorité d'enregistrement » (AE) est chargée d'accepter les demandes de certificats numériques et d'authentifier l'entité qui fait la demande.

La RFC 3647 de l'Internet Engineering Task Force (IETF) définit une « autorité d'enregistrement » (AE) comme « une entité qui est responsable d'une ou plusieurs des fonctions suivantes : l'identification et l'authentification des demandeurs de certificat, l'approbation ou le rejet des demandes de certificat, l'initiation des révocations ou des suspensions de certificat dans certaines circonstances, traiter les demandes des abonnés de révoquer ou de suspendre leurs certificats et approuver ou rejeter les demandes des abonnés de renouveler ou de recréer leurs certificats. Cependant, les « autorités d'enregistrement » (AE) ne signent ni n'émettent de certificats (c'est-à-dire qu'une « autorité d'enregistrement » (AE) se voit déléguer certaines tâches au nom d'une « autorité de certification » (AC)). »

Bien que Microsoft ait pu faire référence à une « autorité de certification » (AC) subordonnée en tant qu'« autorité d'enregistrement » (AE), cela est incorrect selon les normes X.509 PKI. Les « autorités d'enregistrement » (AE) n'ont pas le pouvoir de signature d'une « autorité de certification » et gèrent uniquement la vérification et la fourniture des certificats. Ainsi, dans le cas de Microsoft PKI, la fonctionnalité « autorité d'enregistrement » (AE) est fournie soit par le site Web des services de certificats Microsoft, soit via les services de certificats « Active Directory » qui appliquent l'« autorité de certification » Microsoft Enterprise et la politique de certificat via des modèles de certificat et gère l'inscription des certificats (inscription manuelle ou automatique). Dans le cas des « autorités de certification » (AC) Microsoft Standalone, la fonction d’« autorité d'enregistrement » (AE) n'existe pas puisque toutes les procédures de contrôle de l'« autorité de certification » (AC) reposent sur la procédure d'administration et d'accès associée au système hébergeant l'« autorité de certification » (AC) et sur l'AC elle-même plutôt que sur Active Directory. La plupart des solutions PKI commerciales non Microsoft offrent un composant « autorité d'enregistrement » (AE) autonome.

Une entité doit être identifiable de manière unique dans chaque domaine d'« autorité de certification » (AC) sur la base d'informations sur cette entité. Une « autorité de validation » (AV) tierce peut fournir ces informations sur l'entité au nom de l'« autorité de certification » (AC).

La norme X.509 définit le format le plus couramment utilisé pour les certificats de clé publique.

PKI Public Key Infrastructure (recherches avec google)
PKI Public Key Infrastructure (recherches avec qwant)

1. Wikipedia (en) : Public key infrastructure (PKI)