Autorités de certification

L'autorité de certification délivre un certificat associant un contenu numérique unique à un émetteur unique, dont l'identité a été contrôlée par les moyens qu'elle juge adéquats.

L'utilisateur (son navigateur Internet, son contrôleur d'intégrité, etc.) effectue l'opération s'assurant que le contenu numérique est bien conforme au certificat qui l'accompagne (le contenu est intègre et l'émetteur est bien celui qu'il prétend être). Grâce à l'autorité de certification, les utilisateurs n'ont plus à conserver que la clé publique de cette autorité, qui leur permet de vérifier la signature des certificats délivrés.

L'autorité de certification, aussi appelée « Autorité racine », est un organisme possèdant, en sécurité informatique, une clé privée de signature (au sens du chiffrement - cryptographie) qui va lui servir à certifier les associations entre contenus numériques (contenu web, code logiciel, code script, etc.) accompagnés d'une clé publique et l'identité de la personne (physique ou morale) possédant la clé privée correspondante.

Tous les domaines (les sites Web) souhaitant apporter une relative sécurité des flux de données entre un ordinateur client (celui de l'internaute) et un serveur (dans la relation Web Client/Serveur) utilisent le protocole sécurisé de transmission de données « https », au lieu du protocole non sécurisé « http ». Le « S », à la fin de « http », signale que les conversations entre le « client » et le « serveur » seront chiffrées (cryptées).

Mais, pour utiliser « https », il ne suffit pas que les conversations soient assez difficiles à intercepter. Il faut, avant même d'établir la communication, s'assurer que celui qui est à l'autre bout, le serveur de la banque, de l'organisme administratif, etc. est bien celui qu'il prétend être et non pas celui d'un usurpateur. C'est le rôle des certificats électroniques délivrés par les « Autorités de certification ».

Le système d'exploitation contient un inventaire, régulièrement mis à jour, des clés publiques des « Autorités de certification » et des certificats. A la demande d'ouverture d'une connexion sécurisée, le système d'exploitation commence par vérifier si le service est certifié, si le certificat est valide, s'il n'est pas périmé, etc. S'il ne connait pas le certificat, il cherche s'il existe et se met à jour ou interdit l'échange numérique (un message d'alerte est affiché qui permet à l'utilisateur de choisir ce qu'il compte faire : sortir de là ou poursuivre malgré tout.).